Aviso de seguridad de Debian

DSA-4689-1 bind9 -- actualización de seguridad

Fecha del informe:
19 de may de 2020
Paquetes afectados:
bind9
Vulnerable:
Sí
Referencias a bases de datos de seguridad:
En el sistema de seguimiento de errores de Debian: error 945171.
En el diccionario CVE de Mitre: CVE-2019-6477, CVE-2020-8616, CVE-2020-8617.
Información adicional:

Se descubrieron varias vulnerabilidades en BIND, una implementación de servidor DNS.

  • CVE-2019-6477

    Se descubrió que las consultas a través de una conexión TCP con segmentación («pipelining») habilitada podían eludir los límites del cliente TCP, dando lugar a denegación de servicio.

  • CVE-2020-8616

    Se descubrió que BIND no limita suficientemente el número de descargas realizadas al procesar derivaciones («referrals»). Un atacante puede aprovechar este defecto para provocar denegación de servicio (degradación de rendimiento) o usar el servidor recursivo en un ataque de reflejo con un alto factor de amplificación.

  • CVE-2020-8617

    Se descubrió que se puede usar un error en la lógica del código que verifica la validez TSIG para desencadenar un fallo de aserción, dando lugar a denegación de servicio.

Para la distribución «antigua estable» (stretch), estos problemas se han corregido en la versión 1:9.10.3.dfsg.P4-12.3+deb9u6.

Para la distribución «estable» (buster), estos problemas se han corregido en la versión 1:9.11.5.P4+dfsg-5.1+deb10u1.

Le recomendamos que actualice los paquetes de bind9.

Para información detallada sobre el estado de seguridad de bind9, consulte su página en el sistema de seguimiento de problemas de seguridad: https://security-tracker.debian.org/tracker/bind9