PowerDNS权威服务器中的漏洞

可用的 权威DNS服务器更新 PowerDNS 权威服务器 4.3.1、4.2.3 和 4.1.14在其中 被淘汰 四个漏洞，其中两个可能导致攻击者远程执行代码。

漏洞 CVE-2020-24696、CVE-2020-24697 和 CVE-2020-24698
影响 实现密钥交换机制的代码 GSS-TSIG。 仅当 PowerDNS 使用 GSS-TSIG 支持（“—enable-experimental-gss-tsig”，默认情况下不使用）构建时，这些漏洞才会出现，并且可以通过发送专门设计的网络数据包来利用。 在处理格式不正确的 GSS-TSIG 签名的请求时，竞争条件和双重释放漏洞 CVE-2020-24696 和 CVE-2020-24698 可能会导致攻击者代码崩溃或执行。 漏洞CVE-2020-24697仅限于拒绝服务。 由于默认情况下（包括在分发包中）未使用 GSS-TSIG 代码，并且可能包含其他问题，因此决定在 PowerDNS Authoritative 4.4.0 版本中完全删除它。

CVE-2020-17482 可能会导致未初始化的进程内存中的信息泄漏，但仅在处理来自能够将新记录添加到服务器所服务的 DNS 区域的经过身份验证的用户的请求时才会发生。

来源： opennet.ru