Knowledge Base ISC Main Website Ask a Question/Contact ISC
CVE-2013-2266 [DE]: Eine spezifisch erstellte Regular Expression kann den Speicher in named erschöpfen
Author: Cathy Almond Reference Number: AA-00883 Views: 6714 Created: 2013-03-18 16:41 Last Updated: 2013-03-26 15:54 0 Rating/ Voters

Ein kritischer Defekt in BIND 9 erlaubt einem Angreifer den Speicher in named und anderen Programmen, die mit libdns gelinkt sind, zu erschöpfen.

Dokument Version:        
 2.0
Veröffentlicht: 
26 März 2013
Program betroffen: 
BIND
Versionen betroffen: 
"Unix" Versions von  BIND 9.7.x, 9.8.0 -> 9.8.5b1, 9.9.0 -> 9.9.3b1.  (Windows Versionen sind nicht betroffen. Versionen von BIND 9 vor BIND 9.7.0 (inklusive BIND 9.6-ESV) sind nicht betroffen. BIND 10 ist nicht betroffen.)
Gefahrenpotential: 
Kritisch
Angriffsvektorklasse: 
Remote (Von entfernten Netzwerken)

Beschreibung:

Ein Fehler in einer Bibliothek, die von BIND 9.7, 9.8, und 9.9 gebraucht wird wenn BIND auf Unix und Unix-ähnlichen Systemen kompiliert wird, erlaubt einem Angreifer absichtlich einen grossen Speicherverbrauch im named Prozess zu verursachen und möglicherweise den Speicher des Computers aufzufüllen. Dies führt zu einem Abbruch des BIND 9 Prozesses and wird wahrscheinlich auch den Betrieb von anderen Programmen auf dem selben Computer beeinträchtigen.

Bitte beachten Sie: Versionen von BIND 9.7 sind nach ihrem "end of life" (EOL), werden nicht mehr getestet, und erhalten keine Sicherheitskorrekturen mehr von ISC. Allerdings kann die Neukompilierungs-Methode, wie sie unter "Workaround" beschrieben wird, den Angriff in BIND 9.7 als auch auf neueren Versionen unterbinden.

Für aktuelle Informationen, welche Versionen aktiv sunterstuetzt werden, sehen Sie auf http://www.isc.org/software/bind/versions nach.

Weitere Information finden Sie im CVE-2013-2266 FAQ und zusätzlich im Artikel in der ISC Knowledge base, https://kb.isc.org/article/AA-00879.

Auswirkung:

Vorsätzliche Ausnutzung dieser Bedingung kann zu einem Denial-of-Service in allen autoritären und rekursiven Nameservern mit den betroffenen Versionen von BIND 9 führen [alle Versionen von BIND 9.7, BIND 9.8.0 durch 9.8.5b1 (einschließlich) und BIND 9.9.0 bis BIND 9.9.3b1 (einschließlich)]. Zusätzlich könnten andere Dienste, die auf der gleichen physikalischen Maschine wie der betroffene BIND Server laufen, durch Erschöpfung des Speichers beeinträchtigt werden.

Programme, die die libdns Bibliothek von den betroffenen Versionen von BIND benutzen, sind auch potentiell anfällig für die Ausnutzung dieses Fehler, wenn sie Daten akzeptieren, die den Zustand auslösen. Werkzeuge, die gegen libdns (zB dig) gelinkt sind, solten auch neu kompiliert oder updated werden selbst wenn named nicht verwendet wird.

CVSS Bewertung:  7.8

CVSS Formel:  (AV:N/AC:L/Au:N/C:N/I:N/A:C)

Für mehr Informationen über das Common Vulnerability Scoring System und um Ihre eigene spezifische Punktezahl zu ermitteln besuchen Sie bitte: http://nvd.nist.gov/cvss.cfm?calculator&adv&version=2&vector=(AV:N/AC:L/Au:N/C:N/I:N/A:C)

Workaround:

Korrigierte Versionen sind verfügbar (siehe "Lösung" Sektion unten) oder Benutzer können die Ausnutzung diese Fehlers in allen betroffen Versionen von BIND verhindern indem sie das Program ohne Regular Expression Unterstütztung neu kompilieren.

Kompilation ohne Regular Expression Unterstützung:

BIND 9.7 (alle Versionen), BIND 9.8 (9.8.0 bis und mit 9.8.5b1), und BIND 9.9 (9.9.0 bis und mit 9.9.3b1) können abgesichert werden vor diesem Fehler indem der Quellcode neu kompiliert wird mit Regular Expression Unterstütztung ausgeschaltet. Um die Unterstütztung von Regular Expression abzuschalten:

  • Nach der Konfiguration von BIND mit den gewünschten Funktionen durch das "configure" Skript im obersten Quellverzeichnis, ändern sie die "config.h" Header-Datei, die durch das configure Skript erzeugt wurde.
  • Suchen Sie zie Zeile "#define HAVE_REGEX_H 1" und ersetzen Sie den Inhalt der Zeile mit "#undef HAVE_REGEX_H".
  • Führen Sie "make clean" aus um vorher kompilierte Objektdateien aus dem BIND 9 Quellverzeichnis zu löschen. Danach können Sie "make" aufrufen und BIND normal installieren. 

Aktive Exploits:

Keine bekannt.

sung:  

Kompilieren Sie BIND 9 ohne Regular Expression Support wie es in der "Workarounds" Sektion dieser Empfehlung angeben wird oder aktualisieren Sie auf die korrigierte Version, die der aktuell eingesetzten Version am nächsten kommt. Diese können alle von http://www.isc.org/downloads/all runtergeladen werden.

  • BIND 9 Version 9.8.4-P2
  • BIND 9 Version 9.9.2-P2

Annerkennung: ISC dankt Matthew Horsfall von Dyn, Inc. für das Auffinden des Fehlers und die Benachrichtigung an uns.

Dokument Revision History:

1.0 Phase Eins - Vorbenachrichtigung, 11 März 2013

1.1 Phase Zwei & Drei, 25 März 2013

2.0 Benachrichtigung der Öffentlichkeit (Phase Vier), 26 März 2013

Verwandte Documente:

Beachten Sie unsere BIND Security Matrix für eine komplette Liste der Security Probleme und der beeinträchtigten Versionen.

Wenn Sie mehr Informationen über unseren Produktesupport wünschen, dann besuchen Sie bitte www.isc.org/support.

Haben Sie noch weiter Fragen?  Fragen in Bezug zu diesem Advisory sollten an security-officer@isc.org gerichtet werden

Notiz: ISC korrigiert nur aktuell unterstützte Versionen. Wenn es möglich ist, dann verweisen wir auch auf EOL (End of Life) Versionen die betroffen sind.

ISC Security Vulnerability Veröffentlichkeits Regelung:  Details über unsere aktuelle Security Advisory Regelung und Praxis sind veröffentlicht auf: https://www.isc.org/security-vulnerability-disclosure-policy

Dieser Knowledge Base Artikel https://kb.isc.org/article/AA-00871 ist das komplette und offizielle Security Advisory Dokument.

Rechtliche Hinweise: 
Internet Systems Consortium (ISC) macht diese Mitteilung auf einer "AS IS"-Basis. Keine Garantie oder Gewährleistung jedweder Art wird in dieser Mitteilung zum Ausdruck gebracht und keiner sollte impliziert werden. ISC schließt ausdrückliche oder konkludente Zusicherungen oder Gewährleistungen im Hinblick auf die in dieser Publikation enthaltenen Informationen ab; dies gilt unter anderem für jegliche stillschweigende Gewährleistung der allgemeinen Tauglichkeit oder der Eignung zu einem bestimmten Zweck sowie jegliche Gewährleistung im Hinblick auf die Genauigkeit, Richtigkeit, Qualität, Vollständigkeit oder Aktualität dieser Informationen und sind in keinem Fall verantwortlich oder haftbar für die Verwendung oder den Gebrauch der in dieser Publikation enthaltenen Informationen durch Dritte im Rahmen deren Tätigkeit oder für etwaige in dieser Publikation enthaltene Fehler oder Auslassungen. ISC kann diese Bekanntmachung jederzeit ändern. Eine alleinstehende Kopie oder ein Umschreibung des Textes in diesem Dokument ohne URL ist eine unkontrollierte Kopie. Unkontrollierten Kopien können wichtig Informationen fehlen, veraltet sein oder sachliche Fehler enthalten.


© 2001-2017 Internet Systems Consortium

For assistance with problems and questions for which you have not been able to find an answer in our Knowledge Base, we recommend searching our community mailing list archives and/or posting your question there (you will need to register there first for your posts to be accepted). The bind-users and the dhcp-users lists particularly have a long-standing and active membership.

ISC relies on the financial support of the community to fund the development of its open source software products. If you would like to support future product evolution and maintenance as well having peace of mind knowing that our team of experts are poised to provide you with individual technical assistance whenever you call upon them, then please consider our Professional Subscription Support services - details can be found on our main website.

Feedback
  • There is no feedback for this article
Quick Jump Menu