總機(jī)：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號(hào)信源大廈3206-3211室 郵編：510660
安全公告編號(hào):CNTA-2016-0011
近日，國(guó)家信息安全漏洞共享平臺(tái)（CNVD）收錄了ISC BIND存在三個(gè)拒絕服務(wù)高危漏洞（CNVD-2016-01548、CNVD-2016-01549、CNVD-2016-01550，對(duì)應(yīng)CVE-2016-1286、CVE-2016-1285、CVE-2016-2088）。遠(yuǎn)程攻擊者可利用上述漏洞，可發(fā)起拒絕服務(wù)攻擊，對(duì)互聯(lián)網(wǎng)上廣泛應(yīng)用BIND系統(tǒng)解析軟件的域名服務(wù)器構(gòu)成安全運(yùn)行風(fēng)險(xiǎn)。
BIND是美國(guó)Internet Systems Consortium（ISC）組織所維護(hù)的一套DNS域名解析服務(wù)軟件，近期存在的三個(gè)高危漏洞如下：
一、ISC BIND DNAME解析記錄簽名校驗(yàn)拒絕服務(wù)漏洞（CNVD-2016-01548，CVE-2016-1286）
BIND服務(wù)器上DNAME解析記錄支持簽名校驗(yàn)。攻擊者利用漏洞讓服務(wù)器對(duì)惡意請(qǐng)求（包含DNAME解析記錄簽名校驗(yàn)）進(jìn)行響應(yīng)，導(dǎo)致resolver.c或 db.c.發(fā)生斷言錯(cuò)誤，最終導(dǎo)致BIND named主進(jìn)程崩潰，造成拒絕服務(wù)攻擊。遞歸解析器均受到漏洞的影響，而當(dāng)權(quán)威服務(wù)器在特定條件下（比如Slave master發(fā)起SOA查詢時(shí)）也有可能受到影響。即使權(quán)威服務(wù)器不進(jìn)行身份驗(yàn)證或完全禁止DNSSEC配置，只要其接受包含惡意簽名校驗(yàn)的應(yīng)答，也將受到影響 。CNVD對(duì)漏洞的綜合評(píng)級(jí)均為“高危”。
漏洞影響ISC BIND 9.0.0-> 9.8.8, 9.9.0 -> 9.9.8-P3, 9.9.3-S1 -> 9.9.8-S5,? 9.10.0 ->9.10.3-P3版本，用戶可將程序分別升級(jí)至?9.9.8-P4，9.10.3-P4，9.9.8-S6版本。
二、ISC BIND rndc控制實(shí)例拒絕服務(wù)漏洞（CNVD-2016-01549，CVE-2016-1285）
BIND rndc控制實(shí)例對(duì)請(qǐng)求輸入處理存在設(shè)計(jì)缺陷，該漏洞可導(dǎo)致sexpr.c 或alist.c發(fā)生斷言失敗，最終導(dǎo)致在給named進(jìn)程發(fā)送畸形數(shù)據(jù)包時(shí)，named進(jìn)程退出（BIND可使用rndc工具來管理域名系統(tǒng)服務(wù)）。由于該攻擊過程可發(fā)生在在身份驗(yàn)證前以及基于網(wǎng)絡(luò)地址的訪問控制之后，攻擊者不需要進(jìn)行任何身份驗(yàn)證，但是其需要匹配在named.conf 配置文件的controls選項(xiàng)所指定的地址列表中。如果沒有設(shè)置controls選項(xiàng)，則會(huì)在本地回環(huán)通路（127.0.0.1和::1）監(jiān)聽數(shù)據(jù)包。CNVD對(duì)漏洞的綜合評(píng)級(jí)均為“高危”。
漏洞影響9.2.0 ->9.8.8, 9.9.0->9.9.8-P3, 9.9.3-S1->9.9.8-S5, 9.10.0->9.10.3-P3版本，用戶可將程序分別升級(jí)至9.9.8-P4，9.10.3-P4，?9.9.8-S6版本。臨時(shí)情況下，可限制對(duì)外部連接的訪問（通過利用named.conf中的"controls"配置語句），只允許與可信地址進(jìn)行連接。
三、ISC BIND查詢包c(diǎn)ookie選項(xiàng)拒絕服務(wù)漏洞（CNVD-2016-01550，CVE-2016-2088）
BIND?9.10 為DNS?cookies（或用戶身份辨別）提供原生支持，該機(jī)制旨在保護(hù)查詢請(qǐng)求方和域名服務(wù)器進(jìn)行交互時(shí)的安全。攻擊者可惡意構(gòu)造包含多個(gè)cookie選項(xiàng)的數(shù)據(jù)包導(dǎo)致解析器(resolver.c)發(fā)生 INSIST斷言失敗，從而終止named主進(jìn)程。初始部署時(shí)配置有?DNS?cookie支持的服務(wù)器會(huì)受到這一漏洞的影響，而未配置cookie支持選項(xiàng)的在接收到攻擊包時(shí)會(huì)忽略數(shù)據(jù)包而不會(huì)受到影響。?CNVD對(duì)漏洞的綜合評(píng)級(jí)均為“高危”。
漏洞影響B(tài)IND 9.10.0-> 9.10.3-P3版本，用戶可將程序升級(jí)至9.10.3-P4版本。UNIX/Linux平臺(tái)支持源編譯的BIND?9.10版本中，cookie支持選項(xiàng)不是默認(rèn)選中的，需要在安裝時(shí)運(yùn)行"configure"腳本時(shí)使用"--enable-sit"命令行參數(shù)來選擇cookie支持選項(xiàng)。受影響的服務(wù)器的用戶如果不希望更新至已修復(fù)版本，可以自行對(duì)BIND進(jìn)行重新編譯和部署配置，去掉cookie支持選項(xiàng)。而由ISC提供的Windows版本中默認(rèn)有選中"--enable-sit"命令行參數(shù)，使用Windows版本的用戶應(yīng)盡快更新版本。
附：參考鏈接：
https://kb.isc.org/article/AA-01351
https://kb.isc.org/article/AA-01352
https://kb.isc.org/article/AA-01353
http://www.cnvd.org.cn/flaw/show/CNVD-2016-01550