پاور ڈی این ایس مستند سرور میں کمزوریاں

دستیاب مستند DNS سرور اپ ڈیٹس پاور ڈی این ایس مستند سرور 4.3.1، 4.2.3 اور 4.1.14جس میں ختم کر دیا چار خطرات، جن میں سے دو ممکنہ طور پر حملہ آور کے ذریعے ریموٹ کوڈ پر عمل درآمد کا باعث بن سکتے ہیں۔

خطرات CVE-2020-24696، CVE-2020-24697 اور CVE-2020-24698
اثر انداز کلیدی تبادلہ میکانزم کے نفاذ کے ساتھ کوڈ GSS-TSIG. کمزوریاں صرف اس وقت ظاہر ہوتی ہیں جب PowerDNS GSS-TSIG سپورٹ کے ساتھ بنایا جاتا ہے (“—enable-experimental-gss-tsig”، بطور ڈیفالٹ استعمال نہیں ہوتا) اور خاص طور پر ڈیزائن کردہ نیٹ ورک پیکٹ بھیج کر اس کا فائدہ اٹھایا جا سکتا ہے۔ ریس کے حالات اور ڈبل فری خطرات CVE-2020-24696 اور CVE-2020-24698 غلط طریقے سے فارمیٹ شدہ GSS-TSIG دستخطوں کے ساتھ درخواستوں پر کارروائی کرتے وقت حملہ آور کوڈ کے کریش یا عمل درآمد کا باعث بن سکتے ہیں۔ کمزوری CVE-2020-24697 سروس کے انکار تک محدود ہے۔ چونکہ GSS-TSIG کوڈ بطور ڈیفالٹ استعمال نہیں کیا گیا تھا، بشمول ڈسٹری بیوشن پیکجز میں، اور ممکنہ طور پر دیگر مسائل پر مشتمل ہے، اس لیے اسے PowerDNS اتھارٹی 4.4.0 کے اجراء میں مکمل طور پر ہٹانے کا فیصلہ کیا گیا۔

CVE-2020-17482 غیر شروع شدہ پروسیس میموری سے معلومات کے رساو کا باعث بن سکتا ہے، لیکن صرف اس وقت ہوتا ہے جب تصدیق شدہ صارفین کی درخواستوں پر کارروائی کی جاتی ہے جو سرور کے ذریعے پیش کردہ DNS زونز میں نئے ریکارڈز شامل کرنے کی صلاحیت رکھتے ہیں۔

ماخذ: opennet.ru