Ernstig BIND-lek actief misbruikt voor crashen servers
Aanvallers gebruiken een ernstig zero-day beveiligingslek in BIND om servers te laten crashen, een update is nog niet beschikbaar. Het Berkeley Internet Name Domain (BIND) is de populairste DNS-server-software op het internet. DNS is het naamgevingssysteem op internet waarmee netwerken, computers, webservers, mailservers en andere toepassingen worden geïdentificeerd. De naam verwijst naar een IP-adres, waarbij DNS als het telefoonboek van het computernetwerk functioneert. De vertaling van de naam naar het betreffende IP-adres geschiedt middels DNS-servers.
Aanvallen
Op dit moment melden tal van organisaties dat hun BIND 9 nameservers crashen. De servers crashen na het loggen van een fout in een query.c. Verschillende versies van de software zouden kwetsbaar zijn. Het ISC dat BIND beheert, onderzoekt op dit moment het probleem en werkt aan een oplossing om de crashes te voorkomen. Een workaround patch wordt op dit moment getest.
Hoewel het ISC niet over aanvallen spreekt, doet het Franse beveiligingsbedrijf VUPEN dat wel. "Het [ernstige lek] wordt op dit moment misbruikt om servers te laten crashen", zo is op Twitter te lezen.
The patch has two components. When a client query is handled, the code which processes the response to the client has to ask the cache for the records for the name that is being queried. The first component of the patch prevents the cache from returning the inconsistent data. The second component prevents named from crashing if it detects that it has been given an inconsistent answer of this nature.
No workarounds are known. The solution is to upgrade. Upgrade BIND to one of the following patched versions: BIND 9.8.1-P1, 9.7.4-P1, 9.6-ESV-R5-P1, 9.4-ESV-R5-P1
bind9 (1:9.7.3.dfsg-1ubuntu4.1) oneiric-security; urgency=low
* SECURITY UPDATE: denial of service via specially crafted packet
- bin/named/query.c,lib/dns/rbtdb.c: correctly handle cache lookups
that return RRSIG data associated with nonexistent records.
- Patch backported from 9.7.4-P1.
- CVE-2011-4313
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.