Ngày 28 tháng 1 năm 2023Ravie Lakshmanan Bảo mật máy chủ / DNS
Hiệp hội Hệ thống Internet (ISC) đã phát hành các bản vá để xử lý nhiều lỗ hổng bảo mật trong bộ phần mềm Hệ thống tên miền (DNS) 9 Tên miền Internet Berkeley (BIND) có thể dẫn đến tình trạng từ chối dịch vụ (DoS).
“Kẻ tấn công từ xa có thể khai thác các lỗ hổng này để có khả năng gây ra các điều kiện từ chối dịch vụ và lỗi hệ thống”, Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) cho biết trong một khuyến cáo được công bố hôm thứ Sáu.
Phần mềm nguồn mở được sử dụng bởi các công ty tài chính lớn, nhà mạng quốc gia và quốc tế, nhà cung cấp dịch vụ internet (ISP), nhà bán lẻ, nhà sản xuất, tổ chức giáo dục và tổ chức chính phủ, theo trang web của nó.
Tất cả bốn lỗ hổng đều nằm trong dịch vụ BIND9 được đặt tên có chức năng như một máy chủ tên có thẩm quyền cho một nhóm vùng DNS cố định hoặc như một trình phân giải đệ quy cho các máy khách trên mạng cục bộ.
Danh sách các lỗi được đánh giá 7,5 trên hệ thống tính điểm CVSS như sau –
CVE-2022-3094 – Một tin nhắn CẬP NHẬT tràn ngập có thể khiến tên hết bộ nhớ khả dụng
CVE-2022-3488 – Phiên bản xem trước được hỗ trợ BIND có tên có thể chấm dứt bất ngờ khi xử lý các tùy chọn ECS trong các phản hồi lặp lại cho các truy vấn lặp lại
CVE-2022-3736 – có tên được định cấu hình để trả lời từ bộ đệm cũ có thể chấm dứt đột ngột trong khi xử lý các truy vấn RRSIG
CVE-2022-3924 – được đặt tên được định cấu hình để trả lời từ bộ đệm cũ có thể chấm dứt bất ngờ ở hạn ngạch mềm của máy khách đệ quy
Việc khai thác thành công các lỗ hổng có thể khiến dịch vụ có tên bị sập hoặc làm cạn kiệt bộ nhớ khả dụng trên máy chủ mục tiêu.
Các sự cố ảnh hưởng đến các phiên bản 9.16.0 đến 9.16.36, 9.18.0 đến 9.18.10, 9.19.0 đến 9.19.8 và 9.16.8-S1 đến 9.16.36-S1. CVE-2022-3488 cũng ảnh hưởng đến BIND Supported Preview Edition phiên bản 9.11.4-S1 đến 9.11.37-S1. Chúng đã được giải quyết trong các phiên bản 9.16.37, 9.18.11, 9.19.9 và 9.16.37-S1.
Mặc dù không có bằng chứng cho thấy bất kỳ lỗ hổng nào trong số này đang bị khai thác tích cực, người dùng được khuyến nghị nâng cấp lên phiên bản mới nhất càng sớm càng tốt để giảm thiểu các mối đe dọa tiềm ẩn.
