ISC发布DNS软件BIND更新 修复其中数个可远程利用的DoS漏洞 CVE-2017-3136 3137 3138-阿里云开发者社区

开发者社区> 安全> 正文

ISC发布DNS软件BIND更新 修复其中数个可远程利用的DoS漏洞 CVE-2017-3136 3137 3138

简介:

在2016年,BIND曾经出现过两次漏洞。 绿盟科技发布ISC BIND 9 DoS漏洞技术分析与防护方案 , BIND9 DoS漏洞CVE-2016-8864 绿盟科技发布技术分析与防护方案 北京有1435台设备受影响 。本周,互联网系统协会(ISC)又发布了DNS软件BIND更新,修复了可远程利用的数个拒绝服务漏洞。BIND 9.9.9-P8、9.10.4-P8和9.11.0-P5中修复了可导致声明失败的三个安全漏洞。绿盟科技发布安全威胁通告,全文见后。

三个漏洞中CVE-2017-3137为高风险漏洞

这三个漏洞中,最严重的是CVE-2017-3137,该漏洞为高风险级别,CVSS分为7.5。该漏洞可使攻击者创造DoS条件,主要影响递归解析器,但权威服务器在进行递归操作时也有可能受到影响。ISC在发布的安全通告中称,

“进行递归操作的服务器若接收到包含某种排序的CNAME或DNAME资源记录的响应,会出现声明失败错误,而导致强制退出。”

最新的BINS更新修复的另一个漏洞为CVE-2017-3136。该漏洞为中风险级别,影响使用包含break-dnssec yes;选项的DNS64服务的服务器。

修复的第三个漏洞为CVE-2017-3138。攻击者可利用该漏洞通过在其控制信道上发送空命令使BIND名称服务器流程退出。然而,仅能通过可接入控制信道的主机远程利用该漏洞。

ISC说,没有证据表明,这三个漏洞中的任何一个已被利用。

BIND面临新反射攻击风险

本月初,Ixia的安全软件工程师Oana Murarasu报告说发现了一种DDoS攻击放大的新方法。专家发现,BIND的递归DNS解析器可使攻击者通过DNAME根查询响应进行放大攻击。Murarasu解释说,

“放大攻击会生成多个响应,其大小是查询请求的10倍或更大。也就是说,受害者每发送1 Mb流量就会收到10 Mb。”

该问题已上报给了ISC,但组织认为这些攻击是协议设计问题导致,而非BIND自身漏洞。Ixia表示,Microsoft的DNS服务器不易感染这些攻击。

绿盟科技发布《ISC BIND 9多个远程拒绝服务漏洞安全威胁通告》

当地时间12日(北京时间13日),ISC发布DNS软件BIND 9更新,修复了3个远程拒绝服务(DOS)漏洞。

CVE编号: CVE-2017-3136, CVE-2017-3137, CVE-2017-3138。

相关地址:

https://kb.isc.org/article/AA-01471/0

https://kb.isc.org/article/AA-01466/0

https://kb.isc.org/article/AA-01465/0

漏洞描述如下:

CVE ID

威胁程度

攻击方式

描述

CVE-2017-3136

远程

使用了设置“break-dnsses”参数为“yes”的DNS64在处理生成的畸形DNS记录时导致拒绝服务。

CVE-2017-3137

远程

服务器处理一个包含CNAME或者DNAME的畸形响应包时,导致解析器终止,造成拒绝服务。

CVE-2017-3138

远程

允许发送命令的主机在控制信道上发送空命令字符串,会导致后台解析服务程序因为REQUIRE异常而退出。

影响范围

受影响的版本

  • CVE-2017-3136影响的版本:

BIND 9 Version 9.8.0 -> 9.8.8-P1

BIND 9 Version 9.9.0 -> 9.9.9-P6

BIND 9 Version 9.9.10b1->9.9.10rc1

BIND 9 Version 9.10.0 -> 9.10.4-P6

BIND 9 Version 9.10.5b1->9.10.5rc1

BIND 9 Version 9.11.0 -> 9.11.0-P3

BIND 9 Version 9.11.1b1->9.11.1rc1

BIND 9 Version 9.9.3-S1 -> 9.9.9-S8

  • CVE-2017-3137影响的版本:

BIND 9 Version 9.9.9-P6

BIND 9 Version 9.9.10b1->9.9.10rc1

BIND 9 Version 9.10.4-P6

BIND 9 Version 9.10.5b1->9.10.5rc1

BIND 9 Version 9.11.0-P3

BIND 9 Version 9.11.1b1->9.11.1rc1

BIND 9 Version 9.9.9-S8

  • CVE-2017-3138影响的版本:

BIND 9 Version 9.9.9->9.9.9-P7

BIND 9 Version 9.9.10b1->9.9.10rc2

BIND 9 Version 9.10.4->9.10.4-P7

BIND 9 Version 9.10.5b1->9.10.5rc2

BIND 9 Version 9.11.0->9.11.0-P4

BIND 9 Version 9.11.1b1->9.11.1rc2

BIND 9 Version 9.9.9-S1->9.9.9-S9

不受影响的版本

  • 发行版本:

BIND 9 Version 9.9.9-P8

BIND 9 Version 9.10.4-P8

BIND 9 Version 9.11.0-P5

  • 预览版本:

BIND 9 Version 9.9.9-S10

  • 候选版本:

BIND 9 Version 9.9.10rc3

BIND 9 Version 9.10.5rc3

BIND 9 Version 9.11.1rc3

漏洞评估

漏洞攻击条件苛刻,利用难度高,很难实现。

本着企业责任优先的原则,绿盟科技已经开始启动相关的检测和防护工作了,产品会再下次的例行升级包中对本漏洞进行检测和防护。

规避方案

  • ISC官方已经发布补丁和新版本修复相关漏洞,请受影响的用户及时下载更新至不受影响的版本。

相关链接:http://www.isc.org/downloads

  • 使用DNS64的用户可以将“break-dnsses”参数设置为no。
  • 调整ACL策略,对能够访问控制通道的主机严格管控。

绿盟科技声明

本安全公告仅用来描述可能存在的安全问题,绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告,必须保证此安全公告的完整性,包括版权声明等全部内容。未经绿盟科技允许,不得任意修改或者增减此安全公告内容,不得以任何方式将其用于商业目的。



原文发布时间:2017年4月14日

本文由:securityWeek发布,版权归属于原作者

原文链接:http://toutiao.secjia.com/isc-released-bind-patch-cve-2017-3137-3136-3138

本文来自云栖社区合作伙伴安全加,了解相关信息可以关注安全加网站

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
+ 订阅

云安全开发者的大本营

其他文章