ISC (Internet Systems Consortium) ha lanzado actualizaciones de seguridad, en donde abordan 5 vulnerabilidades que afectan a diversas versiones de BIND, 4 de ellas han sido catalogadas de riesgo medio y 1 de riesgo bajo. La explotación exitosa de estos fallos podrían permitir a un atacante remoto realizar ataques de denegación de servicios (DoS) y escalar privilegios.
A continuación se describen los fallos identificados.
Las vulnerabilidades de riesgo medio que permitirían a un atacante remoto realizar ataques de denegación de servicios (DoS) son:
El CVE-2020-8620, se da en el archivo tcpdns.c de las versiones 9.15.6 a 9.16.5 y 9.17.0 a 9.17.3 de BIND que utilizan el administrador de red libuv, y es debido a una especificación errónea del tamaño máximo del buffer, lo cual podría desencadenar un error durante el procesamiento de un payload TCP de gran tamaño.
Mientras que el CVE-2020-8621, se da en el archivo resolver.c de las versiones 9.14.0 a 9.16.5 y 9.17.0 a 9.17.3 de BIND; y es debido a que el programa trata de realizar un QNAME Minimization (cambiar las consultas DNS del solucionador recursivo) luego de un ‘forward first’, lo cual deriva a un error de aserción.
Por otro lado, el CVE-2020-8622 afecta a las versiones 9.0.0 a 9.11.21, 9.12.0 a 9.16.5, 9.17.0 a 9.17.3 y 9.9.3-S1 a 9.11.21-S1 de BIND; y se da cuando el programa realiza la verificación de una respuesta truncada a una solicitud firmada por TSG, lo cual lleva a un error de aserción, causando el bloqueo del servidor.
Finalmente, el CVE-2020-8623 se da en el archivo pk11.c de las versiones 9.10.0 a 9.11.21, 9.12.0 a 9.16.5, 9.17.0 a 9.17.3 y 9.10.5-S1 a 9.11.21-S1 de BIND construidas con “–enable-native-pkcs11”. Un atacante remoto podría explotar exitosamente este fallo realizando consultas especialmente diseñadas para una zona firmada con NSA, desencadenando un error de aserción.
Además, fue abordada también una vulnerabilidad de escalamiento de privilegios identificada con el CVE-2020-8624 de riesgo bajo que afecta a las versiones de BIND:
- 9.9.12 a 9.9.13,
- 9.10.7 a 9.10.8,
- 9.11.3 a 9.11.21,
- 9.12.1 a 9.16.5,
- 9.17.0 a 9.17.3,
- 9.9.12-S1 a 9.9.13-S1 y
- 9.11.3-S1 a 9.11.21-S1.
Un atacante remoto al que se le haya otorgado privilegios para cambiar un subconjunto específico del contenido de la zona, podría abusar de estos privilegios adicionales obtenidos para actualizar otros contenidos de la zona.
Recomendaciones:
- Actualizar ISC BIND desde la página web de descarga oficial a las siguientes versiones:
- 9.16.6;
- 9.17.4;
- 9.11.22-S1
Referencias: