Разработчики самого распространенного DNS-сервера BIND устранили уязвимость, которая могла вызвать критический сбой в работе сайтов на его основе. Некорректная реализация одной из технических функций позволяла проводить DoS-атаки через остановку служебных процессов системы.

Созданный в 80-х годах прошлого века, BIND — продукт с открытым исходным кодом — сегодня обеспечивает работу большинства интернет-ресурсов. Именно на этом ПО работают 10 из 13 корневых DNS-серверов, которые отвечают на запросы при переводе доменных имен в IP-адреса и предоставляют данные по всем доменам верхних уровней.

О проблеме в BIND сообщил эксперт Кембриджского университета Тони Финч (Tony Finch). Он нашел способ вызвать критическую ошибку в работе функции «deny-answer-aliases» — она защищает веб-ресурсы от атак через перепривязку DNS (DNS rebinding). Уязвимость получила индекс CVE-2018-5740 и оценку «высокая опасность».

Эксперты ICS (Internet Systems Consortium), которые занимаются поддержкой BIND, отмечают, что брешью можно воспользоваться, только если веб-администратор сам включает функцию «deny-answer-aliases». В этом случае вызвать ошибку можно как намеренно, так и случайно.

На данный момент нет точных данных о том, сколько именно DNS-серверов попали в зону риска. Эксплойты с применением этой бреши также не обнаружены. По словам разработчиков, уязвимая функция не пользуется у администраторов популярностью.

Проблема актуальна для следующих версий BIND:

  • 9.7.0–9.8.8;
  • 9.9.0–9.9.13;
  • 9.10.0–9.10.8;
  • 9.11.0–9.11.4;
  • 9.12.0–9.12.2;
  • 9.13.0–9.13.2.

Пользователей призывают обновить ПО до последней версии или отключить «deny-answer-aliases».

В январе этого года консорциум ISC закрыл брешь, которая присутствовала в коде BIND 17 лет. Ошибка в обработке DNS-запросов угрожала сбоями в обслуживании клиентов сервера и отключением системы.

Категории: Главное, Кибероборона, Уязвимости