Bulletin d'alerte Debian
DSA-3097-1 unbound -- Mise à jour de sécurité
- Date du rapport :
- 10 décembre 2014
- Paquets concernés :
- unbound
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 772622.
Dans le dictionnaire CVE du Mitre : CVE-2014-8602. - Plus de précisions :
-
Florian Maury de ANSSI a découvert que unbound, un résolveur DNS récursif avec cache et validation, était prédisposé à une vulnérabilité de déni de service. Un attaquant contrefaisant une zone et capable d'émettre (ou de faire émettre) des requêtes au serveur peut piéger le résolveur en le faisant suivre une série infinie de délégations, conduisant ainsi à un épuisement de ressources et à une utilisation excessive du réseau.
Pour la distribution stable (Wheezy), ce problème a été corrigé dans la version 1.4.17-3+deb7u2.
Pour la prochaine distribution stable (Jessie), ce problème a été corrigé dans la version 1.4.22-3.
Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 1.4.22-3.
Nous vous recommandons de mettre à jour vos paquets unbound.