CSIRTCV

Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

10/05/2011

Denegación de servicio a través de consultas RRSIG en ISC BIND 9

El Internet Systems Consortium (ISC), patrocinador del servidor DNS más usado, BIND, informa sobre una vulnerabilidad encontrada en la rama 9 del producto. Aunque matiza que dicha vulnerabilidad únicamente afecta a usuarios que utilicen la característica RPZ.

Riesgo: Medio

Normalmente, los servidores de nombres configurados para usar recursividad reenvían sus respuestas al servidor que origina la respuesta. RPZ (Response Policy Zones) es un mecanismo implementado por BIND 9.8.0 para modificar en los servidores de nombres recursivos las respuestas de acuerdo a un conjunto de reglas definidas local o remotamente (importadas de un servidor en el que se confíe).

Para utilizar RPZ, BIND debe ser compilado con las opciones "--enable-rpz-nsip" o "--enable-rpz-nsdname". Esto permite utilizar la directiva "response-policy" en la configuración. Puede ser utilizado para reemplazar el Resource Record Set (RRset). Se trata el conjunto de todos los registros para un tipo concreto (A, MX, NS...) para un dominio. Por ejemplo RRSIG es un registro de firma utilizado en DNSSEC.

Cuando se utiliza RPZ, una consulta de tipo RRSIG para un nombre que haya sido configurado a través de las políticas RPZ para que se reemplace su RRset, hará que el servidor deje de responder.

Actualmente no se conocen exploits que se aprovechen de esta vulnerabilidad aunque sí es cierto que algunos validadores DNSSEC envían legítimamente consultas del tipo RRSIG, pudiendo causar la denegación de servicio.

Sistemas Afectados:

ISC Bind 9.8.x

Referencias:

CVE-2011-1907

Solución:

Como solución, ISC aconseja evitar el uso de RPZ para realizar reemplazos RRset.
También se puede actualizar la aplicación a la versión 9.8.0-P1 o superior.

Notas:

http://www.hispasec.com/unaaldia/4579
https://www.isc.org/CVE-2011-1907
http://www.vupen.com/english/advisories/2011/1183
http://secunia.com/advisories/44416/

Fuente: Hispasec una-al-día

CSIRT-CV