critical bind bug

[visser]

Het is weer raak :

http://www.isc.org/software/bind/advisories/cve-2012-1667

Vooral de recursive nameserver (dwz : de server die clients gebruiken als 'de' DNS server) kan crashen bij het opvragen van bepaalde records.



Versions affected: 9.0.x -> 9.6.x, 9.4-ESV->9.4-ESV-R5-P1, 9.6-ESV->9.6-ESV-R7, 9.7.0->9.7.6, 9.8.0->9.8.3, 9.9.0->9.9.1
Severity: Critical
Exploitable: Remotely

Description:

This problem was uncovered while testing with experimental DNS record types. It is possible to add records to BIND with null (zero length) rdata fields.

Processing of these records may lead to unexpected outcomes. Recursive servers may crash or disclose some portion of memory to the client. Secondary servers may crash on restart after transferring a zone containing these records. Master servers may corrupt zone data if the zone option "auto-dnssec" is set to "maintain". Other unexpected problems that are not listed here may also be encountered.

Impact: This issue primarily affects recursive nameservers. Authoritative nameservers will only be impacted if an administrator configures experimental record types with no data. If the server is configured this way, then secondaries can crash on restart after transferring that zone. Zone data on the master can become corrupted if the zone with those records has named configured to manage the DNSSEC key rotation.

Solution:

Upgrade to BIND version 9.6-ESV-R7-P1, 9.7.6-P1, 9.8.3-P1, or 9.9.1-P1

[Arieh]

Ook mijn eerste gedachte bij het lezen van de titel: daar gaan we weer.

Ben sinds de vorige keer maar overgestapt op handmatig compilen vs packet manager, kan je meteen updaten.

[dreamhost_nl]

Gelukkig zijn we allemaal al heel lang geleden gewezen op het gevaar van het hebben van recursieve nameservers, dus zal dit probleem hoogstwaarschijnlijk niet zoveel impact hebben.

[PimEffting]

Solution:
Change to PowerDNS

Heb echt geen seconde spijt gehad van de overstap naar PowerDNS.
Is ook nog eens een stuk sneller als je een beetje zones erin hebt staan.

[systemdeveloper]

Solution:
Change to PowerDNS

Heb echt geen seconde spijt gehad van de overstap naar PowerDNS.
Is ook nog eens een stuk sneller als je een beetje zones erin hebt staan.

Very smart ;)

[visser]

Gelukkig zijn we allemaal al heel lang geleden gewezen op het gevaar van het hebben van recursieve nameservers, dus zal dit probleem hoogstwaarschijnlijk niet zoveel impact hebben.

Ik vind resolvers (toegankelijk voor 'eigen' IP adressen ) toch wel normaal om te hebben hoor.

Overigens is 'unbound' ook een alternatieve resolver met weinig advisories.
http://unbound.net/
(en NSD ,http://www.nlnetlabs.nl/projects/nsd/ , is een alternatieve authoritive nameserver)

[dreamhost_nl]

Ik denk ook niet dat iemand voor een al volledig opgeloste bug überhaupt naar andere DNS software zou overstappen.

[visser]

Ik denk ook niet dat iemand voor een al volledig opgeloste bug überhaupt naar andere DNS software zou overstappen.

Ik zie net even te vaak bind advisories voorbij komen om bind bovenaan de voorkeurslijst hebben.

[Jantjedeman]

Vervelend lees net het volgende:

If BIND has crashed due to the flaw, ISC says it should log an error in query.c with the message "INSIST(! dns_rdataset_isassociated(sigrdataset))."

Gelukkig nog geen exploits kunnen vinden en in metasploit is hij ook nog niet beschikbaar dus je kan of overstappen op PowerDNS of updaten voordat de scriptkiddies aan de gang gaan.

[antenna]

Ook PowerDNS had dit jaar al twee security leaks:
PowerDNS Recursor Deleted Domain Record Cache Persistence Vulnerability 2012-02-22
PowerDNS Response Packet Processing Endless Loop Vulnerability 2012-01-11

[dreamhost_nl]

Precies, en zo zal iedere software wel eens een security fix hebben (gehad).

[visser]

Precies, en zo zal iedere software wel eens een security fix hebben (gehad).

Sommige toch echt wel veel meer dan andere.

[Jantjedeman]

Precies, en zo zal iedere software wel eens een security fix hebben (gehad).

Inderaad elke software heeft zijn security fixes het is wel zo dat Powerdns de laatste 2 jaar een goed track record heeft terwijl bind wel degelijk diverse problemen heeft gehad alleen al het afgelopen jaar.

[dreamhost_nl]

Ook PowerDNS had dit jaar al twee security leaks:
PowerDNS Recursor Deleted Domain Record Cache Persistence Vulnerability 2012-02-22
PowerDNS Response Packet Processing Endless Loop Vulnerability 2012-01-11

...het is wel zo dat Powerdns de laatste 2 jaar een goed track record heeft...
Toch maar even snel je PowerDNS upgraden dan als je dat gemist hebt... ;)

[Jantjedeman]

Toch maar even snel je PowerDNS upgraden dan als je dat gemist hebt... ;)
Hahha ik wil niet zeggen dat PowerDNS niet hoeft te updaten of geen last heeft van security issues, maar op het moment wel minder dan Bind.

[dennis0162]

Eerste gedachten: "Alweer?"

Ik gebruik al een paar jaar PowerDNS, werkt echt top!
En is ook nog is van Nederlandse bodem:)

[dreamhost_nl]

Ik denk dat je de posts hiervoor over PowerDNS even niet hebt gelezen... ;)

[Nivko.nl]

Denk er ook even aan als je PowerDNS combineert met SQL, dat je regelmatig de database opruimt. Oude records blijven namelijk staan.

[The-BosS]

Denk er ook even aan als je PowerDNS combineert met SQL, dat je regelmatig de database opruimt. Oude records blijven namelijk staan.

Dat is net zo goed het geval bij bind.