Avis du CERT-FR
Objet : Vulnérabilité dans ISC BIND
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service
- Exécution de code arbitraire
Systèmes affectés
- BIND 8.x (toutes versions) ;
- BIND 9.0 (toutes versions) ;
- BIND 9.1 (toutes versions) ;
- BIND 9.2 (toutes versions) ;
- BIND 9.3.0, 9.3.1, 9.3.2, 9.3.3, 9.3.4 ;
- BIND 9.4.0, 9.4.1, 9.4.2 ;
- BIND 9.5.0a1, 9.5.0a2, 9.5.0a3, 9.5.0a4, 9.5.0a5, 9.5.0a6, 9.5.0a7, 9.5.0b1.
Résumé
Une vulnérabilité dans ISC BIND permet à un utilisateur malintentionné de provoquer un déni de service ou potentiellement d'exécuter du code arbitraire.
Description
Une faille a été identifiée dans une fonction de la bibliothèque libbind fournie avec le serveur DNS : BIND. Cette vulnérabilité peut conduire à une corruption de mémoire permettant ainsi à un utilisateur malintentionné de provoquer un déni de service ou, selon l'éditeur, d'exécuter du code arbitraire.
Il est à noter que la fonction vulnérable n'étant pas mise en œuvre par BIND lui même, le serveur n'est pas vulnérable. Seules des applications s'appuyant sur la bibliothèque libbind et sur cette fonction seront vulnérables.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité ISC BIND du 18 janvier 2008 :
http://www.isc.org/index.pl?/sw/bind/bind-security.php -
Référence CVE CVE-2008-0122
https://www.cve.org/CVERecord?id=CVE-2008-0122
Gestion détaillée du document
| Date | Description |
|---|---|
| 28 janvier 2008 | version initiale. |