Aktualizacje korygujące stabilnych gałęzi serwera DNS BIND 9.11.22 i 9.16.6, a także gałęzi eksperymentalnej 9.17.4, która jest w fazie rozwoju. W nowych wersjach naprawiono 5 luk. Najbardziej niebezpieczna luka () Zdalnie wywołaj odmowę usługi, wysyłając określony zestaw pakietów do portu TCP, który akceptuje połączenia BIND. Wysyłanie nienormalnie dużych żądań AXFR do portu TCP, z faktem, że biblioteka libuv obsługująca połączenie TCP przekaże rozmiar do serwera, co spowoduje uruchomienie sprawdzania asercji i zakończenie procesu.
Inne luki:
- — osoba atakująca może uruchomić sprawdzanie asercji i zawiesić mechanizm rozpoznawania nazw podczas próby zminimalizowania QNAME po przekierowaniu żądania. Problem pojawia się tylko na serwerach z włączoną minifikacją QNAME i działającymi w trybie „najpierw przesyłaj dalej”.
- — atakujący może zainicjować sprawdzenie potwierdzenia i awaryjne zakończenie przepływu pracy, jeśli serwer DNS atakującego zwróci nieprawidłowe odpowiedzi z podpisem TSIG w odpowiedzi na żądanie z serwera DNS ofiary.
- — osoba atakująca może wywołać sprawdzenie potwierdzenia i awaryjne zakończenie programu obsługi, wysyłając specjalnie zaprojektowane żądania strefy podpisane kluczem RSA. Problem pojawia się tylko podczas budowania serwera z opcją „-enable-native-pkcs11”.
- — osoba atakująca posiadająca uprawnienia do zmiany zawartości niektórych pól w strefach DNS może uzyskać dodatkowe uprawnienia do zmiany innej zawartości strefy DNS.
Źródło: opennet.ru