Debians sikkerhedsbulletin

DSA-3854-1 bind9 -- sikkerhedsopdatering

Rapporteret den:
14. maj 2017
Berørte pakker:
bind9
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 860224, Fejl 860225, Fejl 860226.
I Mitres CVE-ordbog: CVE-2017-3136, CVE-2017-3137, CVE-2017-3138.
Yderligere oplysninger:

Flere sårbarheder blev opdaget i BIND, en DNS-serverimplementering. Projektet Common Vulnerabilities and Exposures har registreret følgende problemer:

  • CVE-2017-3136

    Oleg Gorokhov fra Yandex opdagede at BIND ikke på korrekt vis håndterede visse forespørgsler, når DNS64 blev anvendt med valgmuligheden break-dnssec yes;, hvilket gjordet muligt for en fjernangriber at forårsage et lammelsesangreb.

  • CVE-2017-3137

    Man opdagede at BIND havde ukorrekte antagelser om rækkefølgen af records i svarafsnittet af et svar indeholdende CNAME- eller DNAME-ressourcerecords, førende til situationer hvor BIND afbryder med en assertionfejl. En angriber kunne drage nyttet af tilstanden til at forårsage et lammelsesangreb.

  • CVE-2017-3138

    Mike Lalumiere fra Dyn, Inc. opdagede at BIND kunne afbryde med en REQUIRE-assertionfejl, hvis den modtag en null-kommandostreng i sin kontrolkanal. Bemærk at rettelsen i Debian kun er udført som en hærdende foranstaltning. Flere oplysninger om problemet finder man i https://kb.isc.org/article/AA-01471.

I den stabile distribution (jessie), er disse problemer rettet i version 1:9.9.5.dfsg-9+deb8u11.

I den ustabile distribution (sid), er disse problemer rettet i version 1:9.10.3.dfsg.P4-12.3.

Vi anbefaler at du opgraderer dine bind9-pakker.