PT-2020-20240 · Isc+7 · Bind 9+7
Publicado
2020-06-17
·
Atualizado
2024-06-15
·
CVE-2020-8619
CVSS v3.1
4.9
Média
| Vetor | AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
ISC BIND9, versões 9.11.14 a 9.11.19
ISC BIND9, versões 9.14.9 a 9.14.12
ISC BIND9, versões 9.16.0 a 9.16.3
Versões da ISC BIND9 Supported Preview Edition de 9.11.14-S1 a 9.11.19-S1
Descrição
O problema ocorre quando um servidor de nomes está prestando serviço autoritativo para uma ou mais zonas e pelo menos uma zona contém uma entrada não terminal vazia com o caractere asterisco (“*”). Isso poderia ser potencialmente explorado por um invasor capaz de alterar o conteúdo da zona, introduzindo tal registro para causar negação de serviço. No entanto, isso exigiria um nível de privilégio significativo e seria facilmente rastreável. O problema também pode ser desencadeado por invasores remotos usando uma série de consultas especialmente criadas quando um asterisco está presente em um local não terminal vazio dentro do gráfico DNS, levando a uma falha de asserção.
Recomendações
Para as versões 9.11.14 a 9.11.19, atualize para uma versão fora desse intervalo para resolver o problema.
Para as versões 9.14.9 a 9.14.12, atualize para uma versão fora desse intervalo para resolver o problema.
Para as versões 9.16.0 a 9.16.3, atualize para uma versão fora desse intervalo para resolver o problema.
Para as versões 9.11.14-S1 a 9.11.19-S1 da ISC BIND9 Supported Preview Edition, atualize para uma versão fora desse intervalo para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso a zonas que possam conter entradas vazias não terminais com um caractere asterisco
Exploit
Correção
DoS
Improper Resource Release
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Bind 9
Bind Server
Centos
Linuxmint
Red Hat
Suse
Ubuntu