CERT-FI haavoittuvuustiedote 067/2009

29.7.2009

Haavoittuvuus BIND-nimipalveluohjelmistossa

Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

BIND on laajalti käytössä oleva nimipalveluohjelmisto. Ohjelmistosta on löytynyt haavoittuvuus, jonka liittyy dynaamisten päivitysten käsittelyyn. Haavoittuvuutta voidaan hyväksikäyttää lähettämällä nimipalvelimelle tietyllä tavalla muokattu dynaaminen päivityspaketti, mikä aiheuttaa kohdepalvelimella palvelunestotilan.

Haavoittuvuuden hyväksikäyttö on mahdollista, vaikka dynaamisia päivityksiä ei olisi otettu käyttöön palvelimella. Haavoittuvuuteen on julkaistu julkinen hyväksikäyttömenetelmä.

HAAVOITTUVAT OHJELMISTOT:

• BIND 9.4 ennen versiota 9.4.3-P3
• BIND 9.5 ennen versiota 9.5.1-P3
• BIND 9.6 ennen versiota 9.6.1-P1
• BIND 9 ennen versiota 9.4

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä ohjelmisto korjattuun versioon. Haavoittuvuuteen ei ole rajoitusmenetelmää.

LISÄTIETOA:

• https://www.isc.org/node/474
• http://www.kb.cert.org/vuls/id/725188
• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0696

PÄIVITYSHISTORIA:

29.7.2009, kello 0.29: Julkaistu
29.7.2009, kello 14:45: Muutettu CVE-linkki toimivaksi ja selvennetty haavoittuvia ohjelmistoversioita

Sivua päivitetty 29.07.2009

Tulostusversio