[Bind version 9, le paquet bind9, n'est pas affecté par ces problèmes.]
ISS X-Force a découvert plusieurs sérieuses vulnérabilités dans le Serveur de Nom de Domaine Internet de Berkeley (BIND). BIND est l'une des implémentations les plus communes du protocole DNS (Domain Name Service), qui est utilisée par une vaste majorité des serveurs DNS d'Internet. DNS est un protocole vital d'Internet qui maintient une base de données de noms de domaines faciles à retenir (les noms des machines) et leur adresse IP numérique respective.
Une preuve indirecte suggère que Internet Software Consortium (ISC), responsables de BIND, a été prévenu de ces soucis mi-octobre. Les distributeurs de système d'exploitation Open Source, incluant Debian, ont été prévenus de ces failles par le CERT a peu près 12 heures avant la sortie publique des annonces du 12 novembre. Cette notification ne contenait aucun détail qui nous a permis d'identifier le code vulnérable et encore moins de préparer à temps un correctif.
Malheureusement, ISS et ISC ont sorti leurs annonces de sécurité avec juste une description des vulnérabilités, sans rustine. Même s'il n'en existe aucun signe d'exploitation dans la communauté des pirates ni aucun rapport indiquant une attaque active, de telles attaques auraient pu être mises en place pendant tout ce temps - alors qu'il n'y avait pas de correctifs disponibles.
Nous pouvons tous regretter l'incapacité de l'ironiquement appelé Internet Software Consortium à travailler avec la communauté Internet pour gérer ce problème. Heureusement, ceci n'est pas la future manière de traitement pour les trous de sécurité à venir.
Le projet Common Vulnerabilities and Exposures (CVE) a identifié les vulnérabilités suivantes :
Ces problèmes sont corrigés dans la version 8.3.3-2.0woody1 pour l'actuelle distribution stable (Woody), dans la version 8.2.3-0.potato.3 pour l'ancienne distribution stable (Potato) et dans la version 8.3.3-3 pour la distribution instable (Sid). Les paquets corrigés pour Sid vont entrer l'archive aujourd'hui.
Nous recommandons de mettre à jour votre paquet bind immédiatement, de passer à bind9 ou enfin de passer à une autre implémentation de serveur DNS.
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.