BDU:2020-00612 (CVE-2019-6465) — уязвимость сервера DNS BIND
По данным БДУ ФСТЭК России, по состоянию на 11.12.2020.
Средний — 5.3/10 Устранена
Уязвимость сервера DNS BIND связана с ошибкой управления передачей данных к динамическим зонам (DLZ), если эти зоны доступны для записи. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным
Кого касается и что делать
- Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск»; Red Hat Enterprise Linux (Red Hat) — версии 8; и ещё 1 позиция
- Что делать: уязвимость устранена производителем — применить исправления: access.redhat.com
Сведения об уязвимости
| Идентификаторы | BDU:2020-00612 · CVE-2019-6465 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 5.3; CVSS 2.0 — 4.3) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, ограниченное влияние на конфиденциальность |
| Наименование ФСТЭК | Уязвимость сервера DNS BIND, связанная с ошибкой управления передачей данных к динамическим зонам (DLZ), позволяющая нарушителю получить доступ к конфиденциальным данным |
| Даты | Опубликована: 17.02.2020 · Обновлена ФСТЭК: 11.12.2020 · Выявлена: 09.10.2019 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-732 — неправильное присвоение разрешений для критичного ресурса |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: анализ целевого объекта |
Уязвимое ПО
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8 · операционная система
- Astra Linux Special Edition (ООО «РусБИТех-Астра») — 1.6 «Смоленск» · операционная система
- Red Hat Enterprise Linux (Red Hat) — 8 · операционная система
- BIND (Internet Systems Consortium) — версии от 9.9.0 до 9.10.8-P1, от 9.11.0 до 9.11.5-P1, от 9.12.0 до 9.12.3-P1, от 9.9.3-S1 до 9.11.5-S3, от 9.13.0 до 9.13.6 · сетевое программное средство
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для BIND: Обновление программного обеспечения до 1:9.11.5.P4+dfsg-5.1 или более поздней версии
- Для Debian: Обновление программного обеспечения (пакета bind9) до 1:9.10.3.dfsg.P4-12.3+deb9u5 или более поздней версии
- Для Red Hat Enterprise Linux: access.redhat.com/errata/RHSA-2019:3552
