IT资讯 ISC 敦促更新 DNS 服务器以解决新的 BIND 漏洞

jerry · 2021-05-01 08:00:06 · 热度: 1

互联网系统联盟 ISC(Internet Systems Consortium)发布了一份公告,概述了可能影响 DNS 系统安全的三个漏洞。该组织表示,这些漏洞影响了 ISC 伯克利互联网名称域(BIND)9,该系统被广泛用作 DNS 系统,并作为一个开源项目维护。

ISC 敦促更新 DNS 服务器以解决新的 BIND 漏洞

第一个漏洞是 CVE-2021-25216,并且 CVSS 严重性评分为 8.1(32 位)或 7.4(64 位)。攻击者可以通过对 BIND 的 GSS-TSIG 协议的 GSSAPI 安全策略协商机制进行缓冲区溢出攻击来远程触发该漏洞,造成崩溃或远程代码执行。然而,在使用默认 BIND 设置的配置下,易受攻击的代码路径不会暴露,除非服务器的值(tkey-gssapi-keytabtkey-gssapi-credential)被另行设置。

第二个漏洞是 CVE-2021-25215,CVSS 评分为 7.5。CVE-2021-25215 是在处理 DNAME 记录的方式中发现的一个可远程利用的漏洞,可能由于断言失败而导致进程崩溃。CVE-2021-25214 是三个漏洞中危害性最轻的,CVSS 评分为 6.5。这个问题是在增量区域传输(IXFR)中发现的,如果命名服务器收到一个畸形的 IXFR,这将导致命名进程因断言失败而崩溃。

目前,ISC 还没有发现这些漏洞被利用。但其表示,要认真对待 BIND 中的漏洞,只要有一个漏洞被成功利用,就会对服务造成广泛的破坏。因为在 BIND 9 中发现的漏洞大多数是触发 INSIST 或 ASSERT 失败的方法,这会导致 BIND 退出。当外部用户能够稳定地造成 BIND 进程退出时,这就是一种非常有效的拒绝服务(DoS)攻击。保姆式脚本可以重新启动 BIND 9,但在某些情况下,它可能需要几个小时才能重新加载,而且服务器很容易再次被关闭。

目前 BIND 9.11.31、9.16.15 和 9.17.12 都已经包含相关补丁,应该应尽快更新。

文章转载自 OSCHINA 社区 [http://www.oschina.net]

暂无回复。
需要 登录 后方可回复, 如果你还没有账号请点击这里 注册