CVE-2013-2266 [DE]: Eine spezifisch erstellte Regular Expression kann den Speicher in named erschöpfen
  • 06 Dec 2018
  • 4 Minutes to read
  • Contributors
  • Dark
    Light
  • PDF

CVE-2013-2266 [DE]: Eine spezifisch erstellte Regular Expression kann den Speicher in named erschöpfen

  • Dark
    Light
  • PDF

Article Summary

Ein kritischer Defekt in BIND 9 erlaubt einem Angreifer den Speicher in named und anderen Programmen, die mit libdns gelinkt sind, zu erschöpfen.

CVE: CVE-2013-2266

Dokument Version: 2.0

Veröffentlicht: 26 März 2013

Program betroffen: BIND

Versionen betroffen: "Unix" Versions von  BIND 9.7.x, 9.8.0 -> 9.8.5b1, 9.9.0 -> 9.9.3b1. (Windows Versionen sind nicht betroffen. Versionen von BIND 9 vor BIND 9.7.0 (inklusive BIND 9.6-ESV) sind nicht betroffen. BIND 10 ist nicht betroffen.)

Gefahrenpotential: Kritisch

Angriffsvektorklasse: Remote (Von entfernten Netzwerken)

Beschreibung:

Ein Fehler in einer Bibliothek, die von BIND 9.7, 9.8, und 9.9 gebraucht wird wenn BIND auf Unix und Unix-ähnlichen Systemen kompiliert wird, erlaubt einem Angreifer absichtlich einen grossen Speicherverbrauch im named Prozess zu verursachen und möglicherweise den Speicher des Computers aufzufüllen. Dies führt zu einem Abbruch des BIND 9 Prozesses and wird wahrscheinlich auch den Betrieb von anderen Programmen auf dem selben Computer beeinträchtigen.

Bitte beachten Sie: Versionen von BIND 9.7 sind nach ihrem "end of life" (EOL), werden nicht mehr getestet, und erhalten keine Sicherheitskorrekturen mehr von ISC. Allerdings kann die Neukompilierungs-Methode, wie sie unter "Workaround" beschrieben wird, den Angriff in BIND 9.7 als auch auf neueren Versionen unterbinden.

Weitere Information finden Sie im CVE-2013-2266 FAQ und zusätzlich im Artikel in der ISC Knowledgebase, https://kb.isc.org/docs/aa-00879.

Auswirkung:

Vorsätzliche Ausnutzung dieser Bedingung kann zu einem Denial-of-Service in allen autoritären und rekursiven Nameservern mit den betroffenen Versionen von BIND 9 führen [alle Versionen von BIND 9.7, BIND 9.8.0 durch 9.8.5b1 (einschließlich) und BIND 9.9.0 bis BIND 9.9.3b1 (einschließlich)]. Zusätzlich könnten andere Dienste, die auf der gleichen physikalischen Maschine wie der betroffene BIND Server laufen, durch Erschöpfung des Speichers beeinträchtigt werden.

Programme, die die libdns Bibliothek von den betroffenen Versionen von BIND benutzen, sind auch potentiell anfällig für die Ausnutzung dieses Fehler, wenn sie Daten akzeptieren, die den Zustand auslösen. Werkzeuge, die gegen libdns (zB dig) gelinkt sind, solten auch neu kompiliert oder updated werden selbst wenn named nicht verwendet wird.

CVSS Bewertung: 7.8

CVSS Formel: (AV:N/AC:L/Au:N/C:N/I:N/A:C)

Für mehr Informationen über das Common Vulnerability Scoring System und um Ihre eigene spezifische Punktezahl zu ermitteln besuchen Sie bitte: http://nvd.nist.gov/cvss.cfm?calculator&adv&version=2&vector=(AV:N/AC:L/Au:N/C:N/I:N/A:C).

Workaround:

Korrigierte Versionen sind verfügbar (siehe "Lösung" Sektion unten) oder Benutzer können die Ausnutzung diese Fehlers in allen betroffen Versionen von BIND 9  verhindern indem sie das Program ohne Regular Expression Unterstütztung neu kompilieren.

Kompilation ohne Regular Expression Unterstü tzung:

BIND 9.7 (alle Versionen), BIND 9.8 (9.8.0 bis und mit 9.8.5b1), und BIND 9.9 (9.9.0 bis und mit 9.9.3b1) können abgesichert werden vor diesem Fehler indem der Quellcode neu kompiliert wird mit Regular Expression Unterstütztung ausgeschaltet. Um die Unterstütztung von Regular Expression abzuschalten:

  • Nach der Konfiguration von BIND mit den gewünschten Funktionen durch das "configure" Skript im obersten Quellverzeichnis, ändern sie die "config.h" Header-Datei, die durch das configure Skript erzeugt wurde.
  • Suchen Sie zie Zeile "#define HAVE_REGEX_H 1" und ersetzen Sie den Inhalt der Zeile mit "#undef HAVE_REGEX_H".
  • Führen Sie "make clean" aus um vorher kompilierte Objektdateien aus dem BIND 9 Quellverzeichnis zu löschen. Danach können Sie "make" aufrufen und BIND normal installieren.

Aktive Exploits: Keine bekannt.

Lö sung:

Kompilieren Sie BIND 9 ohne Regular Expression Support wie es in der "Workarounds" Sektion dieser Empfehlung angeben wird oder aktualisieren Sie auf die korrigierte Version, die der aktuell eingesetzten Version am nächsten kommt. Diese können alle von https://www.isc.org/downloads runtergeladen werden.

  • BIND 9 Version 9.8.4-P2
  • BIND 9 Version 9.9.2-P2

Annerkennung: ISC dankt Matthew Horsfall von Dyn, Inc. für das Auffinden des Fehlers und die Benachrichtigung an uns.

Dokument Revision History:

1.0 Phase Eins - Vorbenachrichtigung, 11 März 2013
1.1 Phase Zwei & Drei, 25 März 2013
2.0 Benachrichtigung der Öffentlichkeit (Phase Vier), 26 März 2013

Verwandte Documente:

Beachten Sie unsere BIND 9 Security Vulnerability Matrix für eine komplette Liste der Security Probleme und der beeinträchtigten Versionen.

Wenn Sie mehr Informationen über unseren Produktesupport wünschen, dann besuchen Sie bitte https://www.isc.org/support.

Haben Sie noch weiter Fragen? Fragen in Bezug zu diesem Advisory sollten an security-officer@isc.org gerichtet werden

Notiz: ISC korrigiert nur aktuell unterstützte Versionen. Wenn es möglich ist, dann verweisen wir auch auf EOL (End of Life) Versionen die betroffen sind.

ISC Security Vulnerability Veröffentlichkeits Regelung: Details über unsere aktuelle Security Advisory Regelung und Praxis sind veröffentlicht auf: ISC's Software Defect and Security Vulnerability Disclosure Policy.

Dieser Knowledge Base Artikel https://kb.isc.org/docs/aa-00871 ist das komplette und offizielle Security Advisory Dokument.

Rechtliche Hinweise:
Internet Systems Consortium (ISC) macht diese Mitteilung auf einer "AS IS"-Basis. Keine Garantie oder Gewährleistung jedweder Art wird in dieser Mitteilung zum Ausdruck gebracht und keiner sollte impliziert werden. ISC schließt ausdrückliche oder konkludente Zusicherungen oder Gewährleistungen im Hinblick auf die in dieser Publikation enthaltenen Informationen ab; dies gilt unter anderem für jegliche stillschweigende Gewährleistung der allgemeinen Tauglichkeit oder der Eignung zu einem bestimmten Zweck sowie jegliche Gewährleistung im Hinblick auf die Genauigkeit, Richtigkeit, Qualität, Vollständigkeit oder Aktualität dieser Informationen und sind in keinem Fall verantwortlich oder haftbar für die Verwendung oder den Gebrauch der in dieser Publikation enthaltenen Informationen durch Dritte im Rahmen deren Tätigkeit oder für etwaige in dieser Publikation enthaltene Fehler oder Auslassungen. ISC kann diese Bekanntmachung jederzeit ändern. Eine alleinstehende Kopie oder ein Umschreibung des Textes in diesem Dokument ohne URL ist eine unkontrollierte Kopie. Unkontrollierten Kopien können wichtig Informationen fehlen, veraltet sein oder sachliche Fehler enthalten.