Sikkerhedsoplysninger / 2022 / Sikkerhedsoplysninger -- DSA-5235-1 bind9

Debians sikkerhedsbulletin

DSA-5235-1 bind9 -- sikkerhedsopdatering

Rapporteret den:

22. sep 2022

Berørte pakker:

bind9

Sårbar:

Ja

Referencer i sikkerhedsdatabaser:

I Mitres CVE-ordbog: CVE-2022-2795, CVE-2022-3080, CVE-2022-38177, CVE-2022-38178.

Yderligere oplysninger:

Flere sårbarheder blev opdaget i BIND, en DNS-serverimplementering.

• CVE-2022-2795

  Yehuda Afek, Anat Bremler-Barr og Shani Stajnrod opdagede at en fejl i resolverkoden kunne medføre at named brugte al for megen tid på at behandle store delegeringer, hvilket i betydelig grad forværede resolverens ydeevne og medførte lammelsesangreb.

• CVE-2022-3080

  Maksym Odinintsev opdagede at resolveren kunne gå ned når stale cache og stale answers er aktiveret med stale-answer-timeout sat til nul. En fjernangriber kunne drage nytte af fejlen til at forårsage et lammelsesangreb (dæmonnedbrud) gennem særligt fremstillede forespørgsler til resolveren.

• CVE-2022-38177

  Man opdagede at DNSSEC-verifikationskode til ECDSA-algoritmen var sårbar over for en hukommelseslækagefejl. En fjernangriber kunne drage nytte af fejlen til at forårsage, at BIND forbrugte ressourcer, medførende et lammelsesangreb.

• CVE-2022-38178

  Man opdagede at DNSSEC-verifikationskode til EdDSA-algoritmen var sårbar over for en hukommelseslækagefejl. En fjernangriber kunne drage nytte af fejlen til at forårsage, at BIND forbrugte ressourcer, medførende et lammelsesangreb.

I den stabile distribution (bullseye), er disse problemer rettet i version 1:9.16.33-1~deb11u1.

Vi anbefaler at du opgraderer dine bind9-pakker.

For detaljeret sikkerhedsstatus vedrørende bind9, se dens sikkerhedssporingssidede på: https://security-tracker.debian.org/tracker/bind9