Durch die französische Sicherheitsorganisation ANSSI wurde eine Sicherheitslücke entdeckt, welche die drei DNS-Server Unbound, BIND und PowerDNS betrifft. Durch die Lücke können Angreifer einen DNS-Server in eine Endlosschleife versetzen und somit arbeitsunfähig machen. Schadcode kann nicht ausgeführt weden.

Dabei ist das Delegieren von Subdomains an andere Server betroffen. Ein für eine Domain zuständiger DNS-Server kann einen anderen Server als Resolver bestimmen. Dieser verwaltet dann eine entsprechende Subdomain. Unbound, Bind und PowerDNS überprüfen dies allerdings nicht auf manipulierte Einträge, die zu Schleifen führen können. Ein Angreifer, der einen böswilligen Server plaziert, oder die Zonen innerhalb eines Netzes verändern kann, kann so die DNS-Infrastruktur lahmlegen.

Für alle drei DNS-Server wurden bereits Patches herausgegeben, welche die Lücke schließen. Mit Version 3.6.2 hat PowerDNS das Problem behoben (CVE-204-8601). Ab den Versionen 9.9.6-P1 und 9.10.P1 ist BIND 9 geschützt (CVE-2014-8500) und ab Version 1.5.1 ist Unbound sicher (CVE-2014-8602).

(kt, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE