BIND 9回绝服务缝隙安全公告

颁布功夫 2018-08-10

缝隙编号和级别


CVE-2018-5740，，，，，，高危，，，，，，厂商自评：7.5，，，，，，官方未评定


影响版本


BIND 9.7.0->9.8.8，，，，，，9.9.0->9.9.13，，，，，，9.10.0->9.10.8，，，，，， 9.11.0->9.11.4，，，，，，9.12.0->9.12.2，，，，，，9.13.0->9.13.2


缝隙概述


“deny-answer-aliases”是一个很少使用的职能，，，，，，旨在援手域名递归服务器�； ；； ；；；ぷ钪沼没馐蹹NS沉新绑定攻击，，，，，，这是一种绕过客户端浏览器使用的安全模型的代替步骤。。 。。 。 但是，，，，，，此职能中的缺点使得在使用该职能时，，，，，，容易在name.c中遇到断言失败，，，，，，非有意或有意触发此缺点将导致号令中的REQUIRE断言失败，，，，，，从而导致BIND过程终场执行并导致回绝为客户端提供服务。。 。。 。 只有明确启用“deny-answer-aliases”职能的服务器才有风险，，，，，，禁用该职能能够阻止缝隙利用。。 。。 。


缝隙验证


目前没有poc颁布。。 。。 。


建复建议


大无数系统操作员不必要进行任何更改，，，，，，除非他们使用“deny-answer-aliases”职能（在BIND 9治理员参考手册第6.2节中有描述）。。 。。 。“deny-answer-aliases”默认是关关的，，，，，，只有明确启用它的配置才会受到此缺点的影响。。 。。 。
若是您使用“deny-answer-aliases”职能，，，，，，请升级到与您当前版本的BIND最亲昵有关的建补版本。。 。。 。https://kb.isc.org/article/AA-00913
9.9.13-P1
9.10.8-P1
9.11.4-P1
9.12.2-P1

9.11.3-S3


参考链接


https://securityaffairs.co/wordpress/75200/security/bind-dns-software-dos.html
https://kb.isc.org/article/AA-01639/0/CVE-2018-5740%3A-A-flaw-in-the-deny-answer-aliases-feature-can-cause-an-INSIST-assertion-failure-in-named.html
https://kb.isc.org/article/AA-00913