Разработчики Internet Systems Consortium (ISC) выпустили патчи для BIND, в число которых вошла заплатка, устраняющая удаленно эксплуатируемую уязвимость, которая приводит к «падению» DNS-сервера.

Учитывая, что BIND является один из наиболее используемых DNS-решений в мире, проблема достаточно скверная. Уязвимость получила идентификатор CVE-2017-3145 и связана с эксплуатацией use-after-free бага, что в итоге приводит к «падению» демона named.

Хотя специалисты ISC пишут, что им неизвестно о случаях эксплуатации этого бага злоумышленниками, об ошибке разработчикам сообщили сразу несколько компаний и исследователей.

Проблема наличествует в BIND версий 9.9.9-P8 — 9.9.11, 9.10.4-P8 — 9.10.6, 9.11.0-P5 — 9.11.2, 9.9.9-S10 — 9.9.11-S1, 9.10.5-S1 — 9.10.6-S1, а также  9.12.0a1 — 9.12.0rc1. Согласно официальному бюллетеню, патчить нужно все версии BIND, вышедшие после 9.0.0 (то есть после 2000 года). В релизах BIND 9.9.11-P1, 9.10.6-P1, 9.11.2-P1 и 9.12.0rc2 уязвимость уже устранена. Также сообщается, что можно временно защититься от проблемы, отключив валидацию DNSSEC.

3 комментария

  1. john_

    19.01.2018 at 14:08

    Это наименее интересная новость за последнее время )₽

  2. Kadist

    22.01.2018 at 16:45

    Долой DNS. Заходим по IP и пути держим в уме 😉

Оставить мнение