Bulletin d'alerte Debian

DLA-107-1 unbound -- Mise à jour de sécurité pour LTS

Date du rapport :

12 décembre 2014

Paquets concernés :

unbound

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 772622.
Dans le dictionnaire CVE du Mitre : CVE-2014-8602.

Plus de précisions :

Florian Maury de ANSSI a découvert que unbound, un résolveur DNS récursif avec cache et validation, était prédisposé à une vulnérabilité de déni de service. Un attaquant contrefaisant une zone et capable d'émettre (ou de faire émettre) des requêtes au serveur peut piéger le résolveur en le faisant suivre une série infinie de délégations, conduisant ainsi à un épuisement de ressources et à une utilisation excessive du réseau.

Pour Debian 6 Squeeze, ces problèmes ont été corrigés dans la version 1.4.6-1+squeeze4 de unbound.