Bug 20309 – bind9: Mehrere Sicherheitslücken (2.4)

Bug 20309 - bind9: Mehrere Sicherheitslücken (2.4)


Summary:	bind9: Mehrere Sicherheitslücken (2.4)

Status:	CLOSED FIXED

Product:	UCS
Classification:	Unclassified
Component:	Security updates
Version:	UCS 2.3
Hardware:	Other Linux

Importance:	P1 normal (vote)
Target Milestone:	UCS 2.4-sec7
Assigned To:	Moritz Muehlenhoff
QA Contact:	Arvid Requate

URL:
Keywords:

Depends on:
Blocks:
	Show dependency tree / graph

Reported:	2010-10-08 13:21 CEST by Moritz Muehlenhoff
Modified:	2016-08-04 17:09 CEST (History)
CC List:	0 users

See Also:
What kind of report is it?:	---
What type of bug is this?:	---
Who will be affected by this bug?:	---
How will those affected feel about the bug?:	---
User Pain:
Enterprise Customer affected?:
School Customer affected?:
ISV affected?:
Waiting Support:
Flags outvoted (downgraded) after PO Review:
Ticket number:
Bug group (optional):
Max CVSS v3 score:

Attachments
Add an attachment (proposed patch, testcase, etc.)

Note You need to log in before you can comment on or make changes to this bug.

Description Moritz Muehlenhoff

2010-10-08 13:21:18 CEST

+++ This bug was initially created as a clone of Bug #20308 +++

Mehrere Lücken in Bind, die aber die UCS-Einsatzszenarien nicht betreffen,
daher geringe Priorität:

CVE-2009-4022: Fehlerhafte DNSSEC-Validierung
CVE-2010-0097: Cache Poisoning im DNSSEC-Einsatz
CVE-2010-0290: Cache Poisoning im DNSSEC-Einsatz
CVE-2010-0382: Cache Poisoning
CVE-2010-3762: Denial of Service im DNSSEC-Einsatz

Comment 1 Moritz Muehlenhoff

2010-12-22 17:20:14 CET

- Denial of Service durch RRSIG-Records (CVE-2010-3613)
- Denial of Service bei DNSSEC-Validierung (CVE-2010-3614)
- Fehlerhafte ACL-Verarbeitung bei ACLs auf Zonendaten (CVE-2010-3615)
- Denial of Service bei DNSSEC-Validierung (CVE-2010-3762)

Comment 2 Moritz Muehlenhoff

2011-04-01 16:29:49 CEST

Denial of Service bei Zonentransfers (CVE-2011-0414)

Comment 3 Moritz Muehlenhoff

2011-05-27 14:35:26 CEST

\item DNSSEC-Denial of Service (CVE-2011-1910)

Comment 4 Moritz Muehlenhoff

2011-11-17 09:27:26 CET

\item Denial of Service in Bind (CVE-2011-4313)

Zumindest diese Lücke müsste korrigiert werden, die übrigen DNSSEC-Lücken sind vermutlich nicht zurückportierbar ohne auf eine aktuellere Bind-Version zu wechseln.

Comment 5 Moritz Muehlenhoff

2011-12-19 11:23:38 CET

Diese Lücken werden für UCS 2.4 nicht korrigiert; sie betreffen nur DNSSEC, das in UCS 2.4 nicht unterstützt wird. Für vollständigen DNSSEC-Support müsste wie in Debian auf 9.6 aktualisiert werden:

Fehlerhafte DNSSEC-Validierung (CVE-2009-4022, CVE-2010-0382)
Cache Poisoning im DNSSEC-Einsatz (CVE-2010-0097)
Cache Poisoning im DNSSEC-Einsatz (CVE-2010-0290)
Denial of Service im DNSSEC-Einsatz (CVE-2010-3762)
Denial of Service bei DNSSEC-Validierung (CVE-2010-3614)
Denial of Service bei DNSSEC-Validierung (CVE-2010-3762)

Comment 6 Moritz Muehlenhoff

2011-12-19 11:24:50 CET

(In reply to comment #2)
> Denial of Service bei Zonentransfers (CVE-2011-0414)

Diese Lücke betrifft nur Bind 9.7.x

Comment 7 Moritz Muehlenhoff

2011-12-19 11:40:14 CET

(In reply to comment #1)
> - Fehlerhafte ACL-Verarbeitung bei ACLs auf Zonendaten (CVE-2010-3615)

Diese Lücke betrifft nur Bind 9.7.x

Comment 8 Moritz Muehlenhoff

2011-12-19 12:05:08 CET

(In reply to comment #5)
> Diese Lücken werden für UCS 2.4 nicht korrigiert; sie betreffen nur DNSSEC, das
> in UCS 2.4 nicht unterstützt wird. Für vollständigen DNSSEC-Support müsste wie
> in Debian auf 9.6 aktualisiert werden:
> 
> Fehlerhafte DNSSEC-Validierung (CVE-2009-4022, CVE-2010-0382)
> Cache Poisoning im DNSSEC-Einsatz (CVE-2010-0097)
> Cache Poisoning im DNSSEC-Einsatz (CVE-2010-0290)
> Denial of Service im DNSSEC-Einsatz (CVE-2010-3762)
> Denial of Service bei DNSSEC-Validierung (CVE-2010-3614)
> Denial of Service bei DNSSEC-Validierung (CVE-2010-3762)

Ebenso Denial of Service durch RRSIG-Records (CVE-2010-3613)

Comment 9 Moritz Muehlenhoff

2011-12-21 15:32:21 CET

Der Patch für CVE-2011-4313 wurde aus https://www.isc.org/software/bind/96-esv-r5-p1 extrahiert und für 9.5 angepasst. 

Unsere Bind-Version ist leider eine Zwischenversion zwischen den 9.6 Longterm-Branches und dem 9.4 Longterm-Branch...

ucs-test-dns war erfolgreich (der "service records"-Test schlägt auch mit der Standard 2.4 fehl)

Changelog und next.txt wurden ergänzt.

Comment 10 Arvid Requate

2011-12-22 12:35:28 CET

Verified:
 * Die extrahierten Patches sehen korrekt aus
 * bind9 ist per cherrypick nach sec2.4-7 übernommen und gebaut
 * 061_CVE-2011-4313-[1-3].patch wurden beim Paketbau angewendet
 * Installation i386 und amd64 OK
 * Funktionstest per ucs-test-dns vollständig OK
 * Changelog und next.txt OK