Хакер #305. Многошаговые SQL-инъекции
Разработчики Internet Systems Consortium (ISC) выпустили патчи для BIND, в число которых вошла заплатка, устраняющая удаленно эксплуатируемую уязвимость, которая приводит к «падению» DNS-сервера.
Учитывая, что BIND является один из наиболее используемых DNS-решений в мире, проблема достаточно скверная. Уязвимость получила идентификатор CVE-2017-3145 и связана с эксплуатацией use-after-free бага, что в итоге приводит к «падению» демона named.
Хотя специалисты ISC пишут, что им неизвестно о случаях эксплуатации этого бага злоумышленниками, об ошибке разработчикам сообщили сразу несколько компаний и исследователей.
Проблема наличествует в BIND версий 9.9.9-P8 - 9.9.11, 9.10.4-P8 - 9.10.6, 9.11.0-P5 - 9.11.2, 9.9.9-S10 - 9.9.11-S1, 9.10.5-S1 - 9.10.6-S1, а также 9.12.0a1 - 9.12.0rc1. Согласно официальному бюллетеню, патчить нужно все версии BIND, вышедшие после 9.0.0 (то есть после 2000 года). В релизах BIND 9.9.11-P1, 9.10.6-P1, 9.11.2-P1 и 9.12.0rc2 уязвимость уже устранена. Также сообщается, что можно временно защититься от проблемы, отключив валидацию DNSSEC.
