PT-2020-6022 · Isc+5 · Bind+5
Emanuel Almeida
·
Publicado
2020-08-20
·
Atualizado
2024-06-15
·
CVE-2020-8620
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
Nome do software vulnerável e versões afetadas
Versões do BIND 9.15.6 a 9.16.5
Versões do BIND 9.17.0 a 9.17.3
Descrição
O problema está relacionado à biblioteca libuv no servidor DNS BIND, que pode ser explorada por um invasor capaz de estabelecer uma conexão TCP com o servidor e enviar dados por essa conexão, fazendo com que o servidor seja encerrado devido a uma falha de asserção. Isso pode ser desencadeado pelo envio de um conjunto específico de pacotes para a porta TCP na qual o servidor BIND aceita conexões, incluindo grandes solicitações AXFR que podem fazer com que a biblioteca libuv passe um tamanho para o servidor que acione a verificação de asserção e o encerramento do processo.
Recomendações
Para as versões do BIND 9.15.6 a 9.16.5, atualize para a versão 9.16.6 ou posterior.
Para as versões 9.17.0 a 9.17.3 do BIND, atualize para a versão 9.17.4 ou posterior.
Como solução alternativa temporária, considere restringir o acesso à porta TCP na qual o servidor BIND aceita conexões para minimizar o risco de exploração.
Exploit
Correção
Assertion Failure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Bind
Bind Server
Linuxmint
Suse
Ubuntu
Libuv