Alerta do ISC sobre vulnerabilidade no DNS BIND

O CAIS (Centro de Atendimento a Incidentes de Segurança) está repassando o alerta do ISC (Internet Systems Consortium) intitulado “RRSIG Queries Can Trigger Server Crash When Using Response Policy Zones” que trata de uma vulnerabilidade no servidor DNS BIND.

Esta vulnerabilidade afeta usuários que utilizam o recurso Response Policy Zone (RPZ), que permite a um atacante causar uma falha no servidor quando é realizada uma consulta do tipo RRSIG para substituição de RRset. RPZ é um mecanismo para modificar respostas DNS de um servidor recursivo de acordo com um conjunto de regras definidas localmente ou importadas de um servidor de reputação. Um dos usos do RPZ é na substituição de RRset, retornando uma resposta positiva para uma consulta DNS.

Sistemas afetados: versões 9.8.0 do BIND

Correções disponíveis:

• Recomenda-se usar RPZ apenas para forçar respostas NXDOMAIN e não utilizar para substituição de RRset.
• Recomenda-se também a atualização do servidor BIND 9.8.0 para as versões 9.8.0-P1 ou acima.

Maiores detalhes na publicação original do ISC, em inglês, aqui.