Bulletin d'alerte Debian

DLA-2227-1 bind9 -- Mise à jour de sécurité pour LTS

Date du rapport :
30 mai 2020
Paquets concernés :
bind9
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2020-8616, CVE-2020-8617.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans BIND, une implémentation de serveur DNS.

  • CVE-2020-8616

    Il a été découvert que BIND ne limitait pas suffisamment le nombre de recherches réalisées lors du traitement de références. Un attaquant peut exploiter ce défaut pour provoquer un déni de service (dégradation de performance) ou utiliser le serveur de récursion pour une attaque par réflexion avec un facteur d’amplification élevé.

  • CVE-2020-8617

    Il a été découvert qu’une erreur de logique dans le code qui contrôle la validité TSIG peut être utilisée pour déclencher un échec d’assertion, aboutissant à un déni de service.

    Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 1:9.9.5.dfsg-9+deb8u19.

    Nous vous recommandons de mettre à jour vos paquets bind9.

    Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.