Se
ha anunciado una vulnerabilidad
en BIND 9 por la que un usuario
remoto podría causar una denegación de servicio.
El servidor de nombres BIND es
uno de los más usados en Internet. Creado en 1988, en la universidad de
Berkeley, actualmente es desarrollado por el ISC (Internet System Consortium). BIND
se encuentra disponible para una amplia gama de sistemas tanto Unix como Microsoft
Windows.
El problema, con CVE-2014-3859,
reside en el tratamiento de las opciones EDNS (Extension Mechanisms for DNS) y que
puede permitir a un atacante remoto provocar la caída de named y por tanto la denegación
de servicio. La vulnerabilidad afecta tanto a servidores de nombres
autoritativos como recursivos que ejecuten las versiones de BIND 9.10.0 y
9.10.0-P1.
El fallo se encuentra en libdns,
por lo que cualquier otra aplicación (como dig o delv) que haga uso de dicha
librería con las versiones afectadas también sufrirá el mismo problema.
Se recomienda actualizar a la
versión mas reciente en
BIND 9 version 9.10.0-P2
Más información:
CVE-2014-3859: BIND named can crash due to a
defect in EDNS printing processing
Antonio Ropero
Twitter: @aropero
No hay comentarios:
Publicar un comentario