• +54 (011) 4323-9362
  • |
  • de Lun a Vie de 9 a 17 hs
  • |
  • ciberseguridad@ba-csirt.gob.ar

############################
|A|L|E|R|T|A|S| |B|A|-|C|S|I|R|T|
############################

Vulnerabilidades en servidores de ISC BIND

09/08/2018

=============================================
CVE-2018-5740
Fecha de lanzamiento: 08/08/2018
Gravedad: Alta
=============================================

VULNERABILIDAD

Internet Systems Consortium (ISC) ha publicado un aviso de seguridad para abordar una vulnerabilidad que afecta a múltiples versiones del ISC Berkeley Internet Name Domain (BIND). Un atacante remoto podría aprovechar esta vulnerabilidad para causar una denegación de servicio

INFORMACIÓN

BIND (Berkeley Internet Name Domain, anteriormente: Berkeley Internet Name Daemon) es el servidor de DNS más comúnmente usado en Internet, especialmente en sistemas Unix, en los cuales es un Estándar de facto.

DESCRIPCIÓN

BIND tiene una característica poco utilizada denominada "deny-answer-aliases" para ayudar a los operadores de servidores recursivos a proteger a los usuarios finales contra ataques de revinculación de DNS (DNS rebinding), un método potencial para eludir el modelo de seguridad utilizado por los navegadores de los clientes. Sin embargo, un fallo en esta función hace que sea fácil, cuando está siendo usada, sufrir un error de inserción INSIST en el archivo name.c.

SISTEMAS AFECTADOS

Las versiones afectadas de BIND son:

- 9.7.0 a 9.8.8, 9.9.0 a 9.9.13, 9.10.0 a 9.10.8, 9.11.0 a 9.11.4, 9.12.0 a 9.12.2, 9.13.0 a 9.13.2

SOLUCIÓN

La mayoría de los operadores no necesitarán realizar cambios a menos que estén utilizando la función "deny-answer-aliases", que está desactivada por defecto; sólo las configuraciones que lo habilitan explícitamente pueden verse afectadas por esta vulnerabilidad.

Si utiliza "deny-answer-aliases", actualice a la versión parcheada más cercana a su versión actual de BIND.

- 9.9.13-P1
- 9.10.8-P1
- 9.11.4-P1
- 9.12.2-P1

Para BIND Supported Preview Edition.

- 9.11.3-S3

FUENTE

https://www.certsi.es/