PowerDNS、Authoritative Server及びPowerDNS Recursorに複数の脆弱性を確認

元記事：PowerDNS Security Advisory 2016-02: Crafted queries can cause abnormal CPU usage

元記事：PowerDNS Security Advisory 2016-03: Denial of service via the web server

元記事：PowerDNS Security Advisory 2016-04: Insufficient validation of TSIG signatures

元記事：PowerDNS Security Advisory 2016-05: Crafted zone record can cause a denial of service

HP：PowerDNS.COM

発表日時 2016/12/15

PowerDNS Authoritative Server及びPowerDNS Recursorに複数の脆弱性が確認された。影響を受けるのはPowerDNS Authoritative Server 3.4.10、4.0.1、PowerDNS Recursor 3.7.3、4.0.0 、4.0.3で、重要度「中」の脆弱性が5件存在する。
存在するのは、細工されたDNSクエリ送付によりCPU負荷を急上昇させ、システム過負荷によりサービス運用妨害攻撃可能な脆弱性CVE-2016-7068、Web経由でサーバーのモニター機能が有効な場合に、サーバーに対し多数のTCP接続を開くことでファイル記述子を枯渇させることが可能なCVE-2016-7072、TSIGの検証不十分により、中間者攻撃が可能なCVE-2016-7073及びCVE-2016-7074、細工されたリソースレコードをゾーン内に設定してDNSクエリ送信によりサーバープログラム異常終了可能なCVE-2016-2120が存在する。これらの脆弱性悪用によりサーバの異常終了や中間者攻撃の恐れがある。解決策として、PowerDNS Authoritative Server 3.4.11及び4.0.2、PowerDNS Recursor 3.7.4及び 4.0.4にアップデートすることによりこの脆弱性は解消される。

Tweet