Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
ISC BIND
Betroffene Plattformen:
HP-UX family of operating systems B.11.31
Zwei Schwachstellen in BIND ermöglichen einem entfernten, nicht
authentifizierten Angreifer das Bewirken eines Denial-of-Service
(DoS)-Zustandes.
HP-UX B.11.31, die mit BIND 9.7.3 vor Version C.9.7.3.8.0 laufen, sind
verwundbar durch die Schwachstellen. HP stellt Sicherheitsupdates zur
Verfügung.
Patch:
HP Security Advisory HPSBUX03511 SSRT102248
https://h20564.www2.hpe.com/hpsc/doc/public/display?docId=emr_na-c04800156
CVE-2015-5722: Schwachstelle in BIND-Server ermöglicht
Denial-of-Service-Angriff
Im Programmteil “buffer.c” besteht eine Schwachstelle beim Parsen von
DNSSEC-Schlüsseln. Beim Parsen bestimmter Schlüssel beendet sich der
Resolver bei der Validierung aufgrund einer Zusicherungsbedingung
(Assertion) und hinterlässt den BIND-Server unerreichbar für Clients. Ein
entfernter, nicht authentifizierter Angreifer kann durch das Verschicken
manipulierter DNSSEC-Schlüssel einen Denial-of-Service-Angriff durchführen.
CVE-2015-5477: Denial-of-Service-Schwachstelle in BIND9
Eine Schwachstelle in BIND beruht auf der fehlerhaften Behandlung von
bestimmten TKEY Anfragen, die eine REQUIRE-Zusicherung (Assertion) auslösen
und den named-Prozess beenden. Ein entfernter, nicht authentisierter
Angreifer kann durch das Senden eines manipulierten Paketes einen Absturz
von BIND und damit einen Denial-of-Service-Zustand bewirken.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1468/
Schwachstelle CVE-2015-5477 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5477
Schwachstelle CVE-2015-5722 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5722
HP Security Advisory HPSBUX03511 SSRT102248:
https://h20564.www2.hpe.com/hpsc/doc/public/display?docId=emr_na-c04800156
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
