Уязвимости

Спуфинг атака в ISC BIND

Дата публикации:11.01.2009
Дата изменения: 02.11.2011
Всего просмотров: 1861
Опасность: Низкая
Наличие исправления: Да
Количество уязвимостей: 1
CVSSv2 рейтинг: (AV:N/AC:L/Au:N/C:P/I:P/A:N/E:U/RL:O/RC:C) = Base:6.4/Temporal:4.7
CVE ID: CVE-2009-0025
CVE-2008-5077
Вектор эксплуатации: Удаленная
Воздействие: Спуфинг атака
CWE ID: Нет данных
Наличие эксплоита: Нет данных
Уязвимые продукты: ISC BIND 9.2.x
ISC BIND 9.3.x
ISC BIND 9.4.x
ISC BIND 9.5.x
ISC BIND 9.6.x

Уязвимые версии:
BIND 9.0 все версии
BIND 9.1 все версии
BIND 9.2 все версии
BIND 9.3.0, 9.3.1, 9.3.2, 9.3.3, 9.3.4, 9.3.5, 9.3.6
BIND 9.4.0, 9.4.1, 9.4.2, 9.4.3
BIND 9.5.0, 9.5.1
BIND 9.6.0

Описание:
Уязвимость позволяет удаленному пользователю произвести спуфинг атаку.

Уязвимость существует из-за того, что некоторые функции ISC BIND некорректно проверяют данные, возвращаемые OpenSSL функциями "EVP_VerifyFinal()" и "DSA_do_verify()", при проверке подлинности DSA и NSEC3DSA ключей. Удаленный пользователь может подменить ответы от зон, использующих DSA или NSEC3DSA ключи. Для успешной эксплуатации уязвимости зона должна использовать DSA или NSEC3DSA алгоритмы.

Уязвимость относится к:
www.securitylab.ru/vulnerability/366014.php

URL производителя: www.isc.org/software/bind

Решение: Установите последнюю версию 9.3.6-P1, 9.4.3-P1, 9.5.1-P1 или 9.6.0-P1 с сайта производителя. В качестве временного решения производитель рекомендует запретить использование DSA и NSEC3DSA алгоритмов.

Журнал изменений:
02.11.2011
Незначительные изменения.



Ваше имя:
Тип обращения:
Смайлики
Широкая улыбка  Скептически  Идея 
Вопрос  Восклицание  Шутливо 
Со злостью  Очень грустно  Смущенно 
Поцелуй  Здорово  Удивленно 
Печально  С улыбкой  sensored 
Защита от автоматических сообщений:
Защита от автоматических сообщений
Символы на картинке:

                                                                                                                                                                                                                                               

Блоги
12.02.2012
Чем платить за анонимность?
Есть такой размен: «удобство — приватность». Работает в обе стороны и в довольно ...


11.02.2012
Бухгалтеры под ударом
Вот вам и оборотная сторона борьбы с троянами, которые воруют деньги через клиент-банк. Сачков говор ...


10.02.2012
В чужой монастырь со своим поиском
Приходилось слышать, как самоуверенные иностранцы заявляли о поддержке в своём продукте русского язы ...


10.02.2012
Концептуальные взгляды на деятельность Вооруженных сил Российской Федерации в информационном пространстве
Алексей Лукацкий тут нашел очень интересный документ, который лично для меня значительно интереснее ...


10.02.2012
О сильных паролях замолвите слово: Введение
Данный пост не предполагает обсуждение техник придумывания и запоминания безопасных паролей, а напра ...


10.02.2012
Профсоюзный контроль
Наверное, ни для кого не секрет, что подавляющее большинство профсоюзных организаций в нашем государ ...


10.02.2012
МинОбороны РФ разработало стратегию кибервойны
Мы (включая меня) все время критикуем Россию за отсутствие стратегии ведения кибервойн.Однако в конц ...


09.02.2012
Лицензирование ТЗКИ усложнит жизнь операторам персональных данных
© Коллаж РИА НовостиВышедшее недавно постановление правительства РФ о лицензировании деятельности по ...


09.02.2012
Trademark
Вот тут некоторые говорят "репутация бренда". А ещё более некоторые – даже пытаются её измерят ...


09.02.2012
Еще немного про лицензирование
Продолжаю тему, поднятую в предыдущем посте.  Думаю, что мы услышим еще немало самых разных мне ...