ISC ha liberado nuevas versiones del servidor DNS BIND 9,
destinadas a corregir tres vulnerabilidades consideradas de gravedad alta que
podrían permitir a un atacante provocar condiciones de denegación de servicio.
El servidor de nombres BIND es uno de los más usados en Internet. Creado en 1988, en la universidad de Berkeley, actualmente es desarrollado por el ISC (Internet System Consortium). BIND se encuentra disponible para una amplia gama de sistemas tanto Unix como Microsoft Windows.Detalle de las vulnerabilidades
- El primer problema, con CVE-2016-2088, reside en que servidores con soporte para cookies DNS habilitado son vulnerables a una denegación de servicio si un atacante puede hacer que reciban y procesen una respuesta que contenga múltiples opciones de cookies. Afecta a versiones 9.10.x.
- Una segunda vulnerabilidad, con CVE-2016-2088, puede afectar a los servidores que acepten comandos remotos sobre el canal de control. Los servidores que son vulnerables pueden ser detenidos (denegación de servicio) por un atacante mediante el envío de un paquete malicioso desde un sistema de la lista de direcciones especificada en la sentencia “controls”. Afecta a versiones de BIND 9.2.0 a 9.8.8, 9.9.x, 9.9.3-S1 a 9.9.8-S5 y 9.10.x
- Por último, con CVE-2016-1286, un error al analizar los registros de firmas para registros DNAME que tengan propiedades específicas puede provocar una denegación de servicio por un fallo en resolver.c ó db.c
Recomendación
Se recomienda actualizar a las versiones publicadas
- BIND 9 versión 9.9.8-P4
- BIND 9 versión 9.10.3-P4
- BIND 9 versión 9.9.8-S6
Dichas actualizaciones se encuentran disponibles desde http://www.isc.org/downloads
Más información
- CVE-2016-2088: A response containing multiple DNS cookies causes servers with cookie support enabled to exit with an assertion failure. https://kb.isc.org/article/AA-01351
- CVE-2016-1285: An error parsing input received by the rndc control channel can cause an assertion failure in sexpr.c or alist.c https://kb.isc.org/article/AA-01352
- CVE-2016-1286: A problem parsing resource record signatures for DNAME resource records can lead to an assertion failure in resolver.c or db.c https://kb.isc.org/article/AA-01353
