Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] BIND opravuje 2 vysoko závažné zraniteľnosti
BIND 9 vo verziách 9.21.4, 9.20.5, 9.18.33 a 9.18.33-S1 opravuje 2 vysoko závažné zraniteľnosti [1][2]. Debian vydal opravu pre distribúciu bookworm vo verzii 1:9.18.33-1~deb12u2 a sid vo verzii 1:9.20.5-1 [3][4]. Ubuntu opravilo vo verziách 1:9.20.0-2ubuntu3.1 (24.10 oracular), 1:9.18.30-0ubuntu0.24.04.2 (24.04 LTS noble), 1:9.18.30-0ubuntu0.22.04.2 (22.04 LTS jammy) a 1:9.18.30-0ubuntu0.20.04.2 (20.04 LTS focal) [5][6]. Slackware vydal opravu v rámci SSA:2025-029-01 tu [7].
Neautentizovanému vzdialenému útočníkovi je umožnené vytvoriť špeciálne navrhnutú DNS zónu, ktorej dotazy generujú odpovede obsahujúce veľké množstvo záznamov v sekcii Additional, čo vedie k nadmernému zaťaženiu autoritatívneho servera alebo nezávislého resolvera a môže spôsobiť degradáciu výkonu alebo úplnú nedostupnosť služby. Na zneužitie zraniteľnosti je nutné, aby boli zóny vytvorené zámerne [1].
Zraniteľnosť sa nachádza v produktoch:
- *:BIND; >=9.21.0, <=9.21.3; >=9.20.0, <=9.20.4; >=9.18.0, <=9.18.32; >=9.16.0, <=9.16.50; >=9.11.0, <=9.11.37
- *:BIND Supported Preview Edition; >=9.18.11-S1, <=9.18.32-S1; >=9.16.8-S1, <=9.16.50-S1; >=9.11.3-S1, <=9.11.37-S1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-11187 na cve.org, NVD
- CWE-405: Asymmetric Resource Consumption (Amplification) na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 1. 2025.
Neautentizovanému vzdialenému útočníkovi využívajúcemu protokol DNS-over-HTTPS je umožnené vyčerpať procesor a/alebo pamäť DNS resolvera tým, že ho zahltí platnou alebo neplatnou HTTP/2 prevádzkou, čo môže spôsobiť jeho spomalenie alebo úplnú nedostupnosť pre legitímnych používateľov [2].
Zraniteľnosť sa nachádza v produktoch:
- *:BIND; >=9.21.0, <=9.21.3; >=9.20.0, <=9.20.4; >=9.18.0, <=9.18.32
- *:BIND Supported Preview Edition; >=9.18.11-S1, <=9.18.32-S1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-12705 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 1. 2025.
Odkazy
- [1] https://kb.isc.org/docs/cve-2024-11187
- [2] https://kb.isc.org/docs/cve-2024-12705
- [3] https://security-tracker.debian.org/tracker/CVE-2024-11187
- [4] https://security-tracker.debian.org/tracker/CVE-2024-12705
- [5] https://ubuntu.com/security/CVE-2024-11187
- [6] https://ubuntu.com/security/CVE-2024-12705
- [7] http://www.slackware.com/security/viewer.php?l=slackware-security&y=2025&m=slackware-security.353626
Za CESNET, z.s.p.o. Michaela Jarošová dňa 31. 1. 2025.