PowerDNS權威伺服器中的漏洞

可用的 權威DNS伺服器更新 PowerDNS 權威伺服器 4.3.1、4.2.3 和 4.1.14，其中 淘汰 四個漏洞，其中兩個可能導致攻擊者遠端執行程式碼。

漏洞 CVE-2020-24696、CVE-2020-24697 和 CVE-2020-24698
影響 實作密鑰交換機制的程式碼 GSS-TSIG。 只有當 PowerDNS 使用 GSS-TSIG 支援（“—enable-experimental-gss-tsig”，預設不使用）建置時，這些漏洞才會出現，並且可以透過發送專門設計的網路封包來利用。 在處理格式不正確的 GSS-TSIG 簽章的請求時，競爭條件和雙重釋放漏洞 CVE-2020-24696 和 CVE-2020-24698 可能會導致攻擊者程式碼崩潰或執行。 漏洞CVE-2020-24697僅限於拒絕服務。 由於預設情況下（包括在分發包中）未使用 GSS-TSIG 程式碼，並且可能包含其他問題，因此決定在 PowerDNS Authoritative 4.4.0 版本中完全刪除它。

CVE-2020，17482 可能會導致未初始化的進程記憶體中資訊的洩漏，但僅在處理來自能夠將新記錄新增至伺服器所服務的 DNS 區域的經過驗證的使用者的請求時才會發生。

來源： opennet.ru