Sikkerhedsoplysninger / 2011 / Sikkerhedsoplysninger -- DSA-2370-1 unbound

Debians sikkerhedsbulletin

DSA-2370-1 unbound -- flere sårbarheder

Rapporteret den:

22. dec 2011

Berørte pakker:

unbound

Sårbar:

Ja

Referencer i sikkerhedsdatabaser:

I Mitres CVE-ordbog: CVE-2011-4528, CVE-2011-4869.

Yderligere oplysninger:

Man opdagede, at Unbound, en rekursiv DNS-opløser, gik ned ved behandling af visse misdannede DNS-svar fra autoritative DNS-servere, førende til lammelsesangreb (denial of service).

• CVE-2011-4528

  Unbound forsøgte at frigive ikke-allokeret hukommelse under behandling af duplikerede CNAME-poster i en signed zone.

• CVE-2011-4869

  Unbound behandlede ikke på korrekt vis misdannede svar, som mangler de forventede NSEC3-poster.

I den gamle stabile distribution (lenny), er disse problemer rettet i version 1.4.6-1~lenny2.

I den stabile distribution (squeeze), er disse problemer rettet i version 1.4.6-1+squeeze2.

I distributionen testing (wheezy) og i den ustabile distribution (sid), er disse problemer rettet i version 1.4.14-1.

Vi anbefaler at du opgraderer dine unbound-pakker.