Onderwerp: FYI: Bind bug (crash - DoS)

Belangrijk nieuws voor mensen die bind als *resolver* gebruiken (en met name als dat door mogelijke malicious clients is) .

Open resolvers voor de wereld zijn al een tijdlang niet zo'n geweldig idee, en nu nog minder.
Resolver en authoritive DNS moeten ook niet op dezelfde machine .

Van isc.org:

http://www.isc.org/software/bind/adv...s/cve-2011-tbd

BIND 9 Resolver crashes after logging an error in query.c
Organizations across the Internet are reporting crashes interrupting service on BIND 9 nameservers performing recursive queries. Affected servers crash after logging an error in query.c with the following message: "INSIST(! dns_rdataset_isassociated(sigrdataset))" Multiple versions are reported as being affected, including all currently supported release versions of ISC BIND 9. ISC is actively investigating the root cause and working to produce patches which avoid the crash. Further information will be made available soon.
CVE:
CVE-2011-TBD
Document Version:
1.0
Posting date:
16 Nov 2011
Program Impacted:
BIND
Versions affected:
Multiple version of BIND 9. Specific versions under investigation
Severity:
Serious
Exploitable:
Unknown

Inmiddels heeft Ubuntu een nieuwe versie vrijgegeven met een bugfix voor dit probleem.

En inmiddels zijn er patches van isc en (wat meer) uitleg over het probleem.

Document Version:
1.2
Posting date:
16 Nov 2011
Program Impacted: BIND
Versions affected: All currently supported versions of BIND, 9.4-ESV, 9.6-ESV, 9.7.x, 9.8.x
Severity: Serious
Exploitable: Remotely

http://www.isc.org/software/bind/adv.../cve-2011-4313

Description:

An as-yet unidentified network event caused BIND 9 resolvers to cache an invalid record, subsequent queries for which could crash the resolvers with an assertion failure. ISC is working on determining the ultimate cause by which a record with this particular inconsistency is cached.At this time we are making available a patch which makes named recover gracefully from the inconsistency, preventing the abnormal exit.

The patch has two components. When a client query is handled, the code which processes the response to the client has to ask the cache for the records for the name that is being queried. The first component of the patch prevents the cache from returning the inconsistent data. The second component prevents named from crashing if it detects that it has been given an inconsistent answer of this nature.

Ik neem aan dat Named (wat door DirectAdmin gebruikt wordt) hetzelfde doet als Bind, en dat die geen problemen zal hebben?

named = bind

Oorspronkelijk geplaatst door Aar

Ik neem aan dat Named (wat door DirectAdmin gebruikt wordt) hetzelfde doet als Bind, en dat die geen problemen zal hebben?

Named is de daemon service naam, waar bind het volledige package is met tools, server, resolver, etc (correct me if i'm wrong). Dus je named daemon is zoals saymoo aanhaalde een bind versie wanneer je directadmin default install hebt gebruikt.

Zolang je geen "recursive queries" toelaat zou je eigenlijk geen last mogen hebben van deze bug/exploit.

Hoe controleer ik dat of "recursive queries" aan of uitstaan?

Oorspronkelijk geplaatst door Aar

Hoe controleer ik dat of "recursive queries" aan of uitstaan?

Door er simpelweg één te doen via dig, nslookup of externe tools zoals pingdom dnscheck, intodns.com, ping.eu, ...

Verder hoop ik niet voor jou dat je je eigen server beheerd, want als je al niet weet wat een dns query is dan is die bind exploit wel het minste van je zorgen als je enkel ./setup.sh van directadmin hebt uitgevoerd.

Oorspronkelijk geplaatst door The-BosS

Door er simpelweg één te doen via dig, nslookup of externe tools zoals pingdom dnscheck, intodns.com, ping.eu, ...
[...]

Ik weet wel wat een DNS query is, maar ik vind je opmerking in mijn ogen wel een beetje ongepast, als ik eerlijk mag zeggen.

Ik had eerlijk gezegd een antwoord verwacht m.b.t. de configuratie i.p.v. een eenvoudige troll, alvast bedankt.
Verder bedankt voor je eerste deel van je reactie.

Oorspronkelijk geplaatst door Aar

Ik had eerlijk gezegd een antwoord verwacht m.b.t. de configuratie i.p.v. een eenvoudige troll, alvast bedankt.
Verder bedankt voor je eerste deel van je reactie.

Als of het zo moeilijk is om even RTFM te doen van bind manual of google te gebruiken, maar bij deze geef ik je het even met de paplepel in: http://bit.ly/u4xi4x

Had ik al gevonden,bedankt alsnog. Maar persoonlijk geef ik je manier van reageren niet de schoonheidsprijs (iets met RTFM; en de betekenis). Iets behulpzamer mag ook wel voortaan .
Maar laten we maar even ontopic gaan.

Hoe controleer ik dat of "recursive queries" aan of uitstaan?

Nou, eerlijk gezegd zijn dit toch zaken die eenvoudig te vinden zijn, dus ik begrijp sommige korte antwoorden best wel. Bij het beheren van een server zou men eigenlijk van bepaalde dingen, met name firewall, bind en apache op zijn minst zich een bepaalde basiskennis moeten toeleggen.

Bij DNS ga je al snel kijken in de named.conf.

Dus /etc/named.conf en daar zie je dan al gelijk:
allow-recursion { localnets; };

Je zou daar ook van kunnen maken:
allow-recursion { none; };

En dan named herstarten.

Je kunt er ook voor kiezen geen bind/named te draaien met DA.
http://help.directadmin.com/item.php?id=25

Voor server veiligheid van DA zou ik op zijn minst hier eens kijken:
http://help.directadmin.com/item.php?id=247
En ook csf/lfd firewall installeren enzo.

Oorspronkelijk geplaatst door Aar

Had ik al gevonden,bedankt alsnog. Maar persoonlijk geef ik je manier van reageren niet de schoonheidsprijs (iets met RTFM; en de betekenis). Iets behulpzamer mag ook wel voortaan .
Maar laten we maar even ontopic gaan.

config er bij pakken is wellicht evenveel werk als zo'n tool. En in de manual zoeken naar de recursion instelling is ook te veel werk? Manuals zijn er met een reden

Weet ik .