systemadmin.es > DNS > DoS en BIND 9

DoS en BIND 9

Se ha publicado una vulnerabilidad en BIND 9 que permite a un atacante remoto provocar un crash del servidor de nombres maestro.

Normalmente se mantiene el servidor maestro en el interior de nuestra red, por lo que se evita que los clientes puedan realizar peticiones sobre el servidor maestro. El esquema a seguir sería manteniendo los servidores esclavos en una DMZ y el maestro en nuestra red interna:

Esquema con los servidores esclavos en una DMZ y el master DNS en una red privada

Esquema con los servidores esclavos en una DMZ y el master DNS en una red privada

Aunque el problema no nos afecte, conviene mantener actualizado el sistema. Su utilizamos el servidor named de paquetes, CentOS ya ha publicado una versión con el patch:

# rpm -qi bind
Name        : bind                         Relocations: (not relocatable)
Version     : 9.3.4                             Vendor: CentOS
Release     : 10.P1.el5_3.3                 Build Date: Thu 30 Jul 2009 02:54:44 AM CEST
Install Date: Thu 30 Jul 2009 07:51:15 AM CEST      Build Host: builder10.centos.org
Group       : System Environment/Daemons    Source RPM: bind-9.3.4-10.P1.el5_3.3.src.rpm
Size        : 2210208                          License: BSD-like
Signature   : DSA/SHA1, Thu 30 Jul 2009 03:05:21 AM CEST, Key ID a8a447dce8562897
URL         : http://www.isc.org/products/BIND/
Summary     : The Berkeley Internet Name Domain (BIND) DNS (Domain Name System) server.
Description :
BIND (Berkeley Internet Name Domain) is an implementation of the DNS
(Domain Name System) protocols. BIND includes a DNS server (named),
which resolves host names to IP addresses; a resolver library
(routines for applications to use when interfacing with DNS); and
tools for verifying that the DNS server is operating properly.

Lo podemos ver en el changelog:

# rpm -q --changelog bind | head
* Thu Jul 30 2009 Adam Tkac <atkac redhat com> 30:9.3.4-10.P1.3
- fix named_sdb as well (CVE-2009-0696, #514292)

* Thu Jul 30 2009 Tomas Hoger <thoger redhat com> 30:9.3.4-10.P1.2
- security fix for remote DoS (CVE-2009-0696, #514292)

* Wed Jun 10 2009 Adam Tkac <atkac redhat com> 30:9.3.4-10.P1.1
- handle unknown DLV algorithms well (#504794)

* Tue Jan 06 2009 Adam Tkac <atkac redhat com> 30:9.3.4-10.P1

De todas formas, con daemontools, aunque el servidor DNS se cayera por este bug sería automáticamente rearrancado siendo su caída un corte mucho menor que si un operador tuviera que acceder al sistema para volver a arrancarlo.

Deja un comentario:

XHTML - Tags permitidos:<a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>