Onderwerp: Bind (resolver) remote exploit (DoS/exploit)

Weer een issue met bind in de rol als recursive resolver :

====================================
https://kb.isc.org/article/AA-00967

04 Jun 2013
Program Impacted: BIND 9

Versions affected: BIND 9.6-ESV-R9, 9.8.5, and 9.9.3 are affected

Versions 9.6.0 through 9.6-ESV-R8, 9.8.0 through 9.8.4-P2, and 9.9.0 through 9.9.2-P2 ARE NOT affected.

Severity: High
Exploitable: Remotely

Description:

A bug has been discovered in the most recent releases of BIND 9 which has the potential for deliberate exploitation as a denial-of-service attack. By sending a recursive resolver a query for a record in a specially malformed zone, an attacker can cause BIND 9 to exit with a fatal "RUNTIME_CHECK" error in resolver.c

Wel een issue waar men als hoster in de praktijk niet zo gek veel van te duchten heeft, aangezien de meesten (hoop ik althans) geen recursieve lookups doen voor clients.

Oorspronkelijk geplaatst door Cybafish

Wel een issue waar men als hoster in de praktijk niet zo gek veel van te duchten heeft, aangezien de meesten (hoop ik althans) geen recursieve lookups doen voor clients.

Is wel zo handig dat de servers en vpssen die wij leveren alsmede onze eigen servers toch gebruik kunnen maken van recursors. Uiteraard zijn dat geen bind services, maar powerdns, maar noodzakelijk is het wel.

Oorspronkelijk geplaatst door vDong

Is wel zo handig dat de servers en vpssen die wij leveren alsmede onze eigen servers toch gebruik kunnen maken van recursors. Uiteraard zijn dat geen bind services, maar powerdns, maar noodzakelijk is het wel.

Maar die laat je dan wel alleen je local_net acl bedienen en niet de 1337's uit het (verre) oosten

Oorspronkelijk geplaatst door Cybafish

Maar die laat je dan wel alleen je local_net acl bedienen en niet de 1337's uit het (verre) oosten

Volgens de advisory krijg je dit als je de resolver een malformed zone laat opvragen. Een connectie naar tcp/25 levert heel vaak een reverse (of mooier - reverse + forward van die reverse) lookup op. Idem voor logfile processen.
En ja, inderdaad hoor je geen open resolver meer te draaien, maar als ik schat naar de vragen die hier wel eens langskomen zijn er zo soms een paar juniore hosters voor wie dat nog een nieuwe en nuttige tip is.

Oorspronkelijk geplaatst door Cybafish

Maar die laat je dan wel alleen je local_net acl bedienen en niet de 1337's uit het (verre) oosten

Uiteraard, maar dan ben je nog niet risicovrij. De keus voor (een) aparte powerdns recursor(s) naast de auth server(s) is wel heel bewust.

Oorspronkelijk geplaatst door vDong

Uiteraard, maar dan ben je nog niet risicovrij. De keus voor (een) aparte powerdns recursor(s) naast de auth server(s) is wel heel bewust.

Dat is ook een slimme keus om bepaalde problemen te voorkomen (denk aan een domeinnaam is net bij je weg en staat nog in je naamservers en nu wil iemand er naar mailen). Wij draaien overigens nog Unbound op de recursors, de enige reden is de dnssec validatie (anders hadden we PowerDNS wel gebruikt).