BIND: detectadas cinco vulnerabilidades

La Agencia de Seguridad de Infraestructura y Ciberseguridad estadounidense, CISA, ha informado sobre cinco vulnerabilidades de BIND (Berkeley Internet Name Domain) el software de gestión de nameservers de Berkeley. Cuatro de las vulnerabilidades son de nivel medio y la quinta es de nivel bajo. Cuatro de ellas, las de nivel medio, pueden ser empleadas en ataques de denegación de servicio, por lo que la entidad urge a todos los administradores de sistemas en los que se emplee BIND a actualizar sus instalaciones lo antes posible.

Identificadas con los códigos CVE-2020-8620, CVE-2020-8621, CVE-2020-8622, CVE-2020-8623 y CVE-2020-8624, no hay posibilidad de recurrir a algún workaround para resolverlas. La buena noticia es que ya hay versiones de BIND en las que se ha solucionado este problema y, por lo tanto, una actualización a alguna de esas versiones resolverá el problema. Estas son las opciones para cada uno de los casos:

CVE-2020-8620: una gran carga útil TCP especialmente diseñada puede desencadenar un error en tcpdns.c. Afecta a las versiones 9.15.6 -> 9.16.5 y 9.17.0 -> 9.17.3. Se resuelve con una actualización a BIND 9.16.6 y BIND 9.17.4.

CVE-2020-8621: Intentar la minimización de QNAME después del reenvío puede provocar un error de resolver.c. Afecta a las versiones 9.14.0 -> 9.16.5 y 9.17.0 -> 9.17.3. Se resuelve con una actualización a BIND 9.16.6 y BIND 9.17.4.

CVE-2020-8622: una respuesta TSIG truncada puede provocar un error de afirmación. Afecta a las versiones 9.0.0 -> 9.11.21, 9.12.0 -> 9.16.5, 9.17.0 -> 9.17.3 y también afecta a 9.9.3-S1 -> 9.11.21-S1 de BIND 9 Supported Preview Edition. . Se resuelve con una actualización a BIND 9.11.22, BIND 9.16.6 y BIND 9.17.4.

CVE-2020-8623: un fallo PKCS # 11 puede provocar un error de aserción activable remotamente en pk11.c. Afecta a las versiones BIND 9.10.0 -> 9.11.21, 9.12.0 -> 9.16.5, 9.17.0 -> 9.17.3, también afecta a 9.10.5-S1 -> 9.11.21-S1 de BIND 9 Supported Preview Edition. Se resuelve con una actualización a BIND 9.11.22, BIND 9.16.6 y BIND 9.17.4.

CVE-2020-8624: las reglas de la política de actualización del tipo subdominio se aplican incorrectamente. Afecta a las versiones BIND 9.9.12 -> 9.9.13, 9.10.7 -> 9.10.8, 9.11.3 -> 9.11.21, 9.12.1 -> 9.16.5, 9.17.0 -> 9.17.3, también afecta a 9.9.12-S1 -> 9.9.13-S1, 9.11.3-S1 -> 9.11.21-S1 Supported Preview Edition. Se resuelve con una actualización a BIND 9.11.22, BIND 9.16.6 y BIND 9.17.4.

Al describir una de las vulnerabilidades, el ISC afirma que las versiones de BIND que usan el administrador de red libuv ajustan incorrectamente el tamaño máximo de un búfer, lo que permitiría que una carga útil construida deliberadamente aprovechara este problema para desbordar el servidor y provocar su caída. Otras vulnerabilidades que pueden hacer que el servidor se bloquee se basan en configuraciones incorrectas y las firmas adjuntas a las solicitudes de direcciones.

A día de hoy no se han identificado ataques in the wild basados en estas vulnerabilidades, ni se conoce exploit alguno de las mismas. No obstante, eso no significa que no pueda haber ocurrido a una minúscula escala, que todavía no haya sido detectada. Por lo tanto, cualquier administrado de un sistema con BIND debería actualizar de inmediato.

La entrada BIND: detectadas cinco vulnerabilidades es original de MuySeguridad. Seguridad informática.