Bulletin d'alerte Debian

DLA-957-1 bind9 -- Mise à jour de sécurité pour LTS

Date du rapport :

28 mai 2017

Paquets concernés :

bind9

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2017-3136, CVE-2017-3137, CVE-2017-3138.

Plus de précisions :

CVE-2017-3136
Oleg Gorokhov de Yandex a découvert que BIND ne gère pas correctement certaines requêtes quand DNS64 est utilisé avec l'option « break-dnssec yes; », permettant à un attaquant distant de provoquer un déni de service.
CVE-2017-3137
BIND fait des hypothèses incorrectes sur l'ordre des enregistrements dans la section réponse d'une réponse contenant des enregistrements de ressources CNAME ou DNAME, menant à des situations où BIND quitte avec un échec d'assertion. Un attaquant peut tirer avantage d'une telle situation pour provoquer un déni de service.
CVE-2017-3138
Mike Lalumiere de Dyn, Inc. a découvert que BIND peut quitter avec un échec d'assertion REQUIRE s'il reçoit une chaîne de commande NULL sur son canal de contrôle. Notez que ce correctif est seulement appliqué à Debian comme mesure de renforcement. Des détails sur le problème peuvent être trouvés à l'adresse https://kb.isc.org/article/AA-01471 .

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 1:9.8.4.dfsg.P1-6+nmu2+deb7u16.

Nous vous recommandons de mettre à jour vos paquets bind9.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.