Информация по безопасности / 2016 / Информация о безопасности -- DSA-3664-1 pdns

Рекомендация Debian по безопасности

DSA-3664-1 pdns -- обновление безопасности

Дата сообщения:

10.09.2016

Затронутые пакеты:

pdns

Уязвим:

Да

Ссылки на базы данных по безопасности:

В системе отслеживания ошибок Debian: Ошибка 830808.
В каталоге Mitre CVE: CVE-2016-5426, CVE-2016-5427, CVE-2016-6172.

Более подробная информация:

В pdns, авторитетном DNS-сервере, были обнаружены многочисленные уязвимости. Проект Common Vulnerabilities and Exposures определяет следующие проблемы:

• CVE-2016-5426 / CVE-2016-5427

  Флориан Хайнц и Мартин Клюге сообщили, что PowerDNS Authoritative Server принимает запросы, длина qname которых более 255 байт, а также неправильно обрабатывает точки внутри меток. Удалённый неаутентифицированный злоумышленник может использовать эти уязвимости для вызова аномальной нагрузки на движок PowerDNS путём отправки специально сформированных DNS-запросов, что потенциально приводит к отказу в обслуживании.

• CVE-2016-6172

  Было сообщено о том, что первичный DNS-сервер, контролируемый злоумышленником, может аварийно завершить работу вторичного сервера PowerDNS из-за неправильного ограничения размеров зон. Данное обновление добавляет возможность ограничивать размеры AXFR, которая позволяет противостоять этой уязвимости.

В стабильном выпуске (jessie) эти проблемы были исправлены в версии 3.4.1-4+deb8u6.

Рекомендуется обновить пакеты pdns.