Debians sikkerhedsbulletin

DSA-4133-1 isc-dhcp -- sikkerhedsopdatering

Rapporteret den:
7. mar 2018
Berørte pakker:
isc-dhcp
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 887413, Fejl 891785, Fejl 891786.
I Mitres CVE-ordbog: CVE-2017-3144, CVE-2018-5732, CVE-2018-5733.
Yderligere oplysninger:

Flere sårbarheder er opdaget i ISC DHCP-klienten, -relayet og -serveren. Projektet Common Vulnerabilities and Exposures har registreret følgende problemer:

  • CVE-2017-3144

    Man opdagede at DHCP-serveren ikke på korrekt vis ryddede op i lukkede OMAPI-forbindelser, hvilket kunne føre til tømning af mængden af socketdescriptorer tilgængelige for DHCP-serveren, medførende lammelsesangreb.

  • CVE-2018-5732

    Felix Wilhelm fra Google Security Team opdagede at DHCP-klienten var sårbar over for en sårbarhed i forbindelse med hukommelsestilgang uden for grænserne, når der blev behandlet særligt fremstillede DHCP-valgmulighedssvar, medførende i potentielt udførelse af vilkårlig kode af en ondsindet DHCP-server.

  • CVE-2018-5733

    Felix Wilhelm fra Google Security Team opdagede at DHCP-serveren ikke på korrekt vis håndterede referenceoptælling, når der blev behandlet klientforespørgsler. En ondsindet klient kunne drage nytte af fejlen til at forårsage et lammelsesangreb (dhcpd-nedbrud), ved at sende store mængder trafik.

I den gamle stabile distribution (jessie), er disse problemer rettet i version 4.3.1-6+deb8u3.

I den stabile distribution (stretch), er disse problemer rettet i version 4.3.5-3+deb9u1.

Vi anbefaler at du opgraderer dine isc-dhcp-pakker.

For detaljeret sikkerhedsstatus vedrørende isc-dhcp, se dens sikkerhedssporingsside på: https://security-tracker.debian.org/tracker/isc-dhcp