CSIRT Panamá Aviso 2015-07- Vulnerabilidad en BIND (CVE-2015-5477)
Gravedad: Alta
Fecha de publicación: Julio 29, 2015
Fecha de modificación: Julio 29, 2015
Última revisión: Revisión A.
Fuente: Avisos de Seguridad de ISC
Sistemas Afectados
Las siguientes versiones de BIND son afectadas por esta vulnerabilidad:
– 9.1.0 -> 9.8.x
– 9.9.0 -> 9.9.7-P1
– 9.10.0 -> 9.10.2-P2
I. Descripción
La organización ISC, (Internet Systems Consortium, por sus siglas en inglés) encargada de dar mantenimiento al software BIND; ha publicado una vulnerabilidad que afecta todas las versiones de BIND 9. Esta vulnerabilidad consiste en un error en el manejo de las consultas tipo TKEY; en donde un atacante podría explotar como un vector de un ataque para realizar una negación de servicio (DoS).
Los servidores recursivos y autoritativos son vulnerables a esta vulnerabilidad, adicionalmente cabe señalar que las polítcas de acceso u opciones de configuración como el establecimiento de límites de conexión no ayudan a prevenir esta vulnerabilidad. Se recomienda actualizar los mas pronto posible a la versión mas reciente de BIND.
II. Impacto
Complejidad de acceso: Baja
Autenticación: No requerida para explotarla
Tipo de impacto: Compromiso total de la disponibilidad del sistema
III. Referencia a soluciones, herramientas e información
https://kb.isc.org/article/AA-01272
https://security-tracker.debian.org/tracker/CVE-2015-5477
https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2015-5477
http://www.isc.org/downloads/
IV. Información de contacto
CSIRT PANAMA
Autoridad Nacional para la Innovación Gubernamental
E-Mail: info@cert.pa
Web: https://www.cert.pa
—–BEGIN PGP PUBLIC KEY BLOCK—–
Version: GnuPG v2.0.17 (MingW32)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=JUYg
—–END PGP PUBLIC KEY BLOCK—–