Estimados,
Cuidado con los BIND 9 viejos, o más nuevos que vengan de terceros y cuya rama no tenga el parche #3548
Saludos Manuel Cano
---------- Mensaje reenviado ---------- De: noticias@hispasec.com Fecha: 23 de octubre de 2016, 19:14 Asunto: una-al-dia (22/10/2016) Denegación de servicio en versiones antiguas de BIND 9 Para: unaaldia@uad.hispasec.com
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1
Hispasec - una-al-día 22/10/2016 Todos los días una noticia de seguridad www.hispasec.com Síguenos en Twitter: http://twitter.com/unaaldia Noticia en formato HTML: http://unaaldia.hispasec.com/2 016/10/denegacion-de-servicio-en-versiones.html
Denegación de servicio en versiones antiguas de BIND 9
ISC ha publicado un aviso en el que informa de una vulnerabilidad de denegación de servicio en versiones del servidor DNS BIND 9 anteriores a mayo de 2013.
El servidor de nombres BIND es uno de los más usados en Internet. Creado en 1988, en la universidad de Berkeley, actualmente es desarrollado por el ISC (Internet System Consortium). BIND se encuentra disponible para una amplia gama de sistemas tanto Unix como Microsoft Windows.
El problema, con CVE-2016-2848, reside en que un paquete con la sección de opciones específicamente construida puede provocar un fallo de aserción, con la consiguiente caída del servicio. El problema fue corregido en las versiones de BIND distribuidas por ISC en mayo de 2013. Sin embargo algunas versiones de BIND, distribuidas por otras partes, siguen siendo vulnerables al no contener el cambio #3548.
Afecta a versiones de BIND 9.1.0 a 9.8.4-P2 y 9.9.0 a 9.9.2-P2, que no incluyan el cambio #3548 (anteriores a mayo de 2013).
Se recomienda actualizar a las versiones más recientes BIND 9.9.9-P3, 9.10.4-P3 y 9.11.0, disponibles en: http://www.isc.org/downloads.
Opina sobre esta noticia: http://unaaldia.hispasec.com/2016/10/denegacion-de-servicio- en-versiones.html#comment-form
Más información:
CVE-2016-2848: A packet with malformed options can trigger an assertion failure in ISC BIND versions released prior to May 2013 and in packages derived from releases prior to that date. https://kb.isc.org/article/AA-01433
Antonio Ropero antonior@hispasec.com Twitter: @aropero
Tal día como hoy:
22/10/2015: Actualización de múltiples productos Apple: iOS, OS X Server, OS X, Safari, iTunes, Mac EFI, Watch OS y Xcode http://www.hispasec.com/unaaldia/6207
22/10/2014: Diversas vulnerabilidades en PHP http://www.hispasec.com/unaaldia/5842
22/10/2013: Vulnerabilidad en dispositivos Cisco Video Surveillance 4000 Series IP Camera http://www.hispasec.com/unaaldia/5477
22/10/2012: Adobe soluciona seis vulnerabilidades críticas en Shockwave Player http://www.hispasec.com/unaaldia/5112
22/10/2011: Revelación de información sensible en Joomla! http://www.hispasec.com/unaaldia/4746
22/10/2010: Los nuevos Mac no vendrán con Flash Player preinstalado http://www.hispasec.com/unaaldia/4381
22/10/2009: Actualización del kernel para Red Hat Enterprise Linux 4 http://www.hispasec.com/unaaldia/4016
22/10/2008: Diversos problemas de seguridad en el navegador Opera http://www.hispasec.com/unaaldia/3651
22/10/2007: Vulnerabilidad en RealPlayer permite ejecución de código http://www.hispasec.com/unaaldia/3285
22/10/2006: Denegación local de servicio a través de TCP Fusion Code en Solaris 10 http://www.hispasec.com/unaaldia/2920
22/10/2005: Vulnerabilidades en Ethereal por problemas con analizadores de protocolos http://www.hispasec.com/unaaldia/2555
22/10/2004: Actualización para Sun Solaris por vulnerabilidad en LDAP con RBAC http://www.hispasec.com/unaaldia/2190
22/10/2003: Denegación de servicio en eMule http://www.hispasec.com/unaaldia/1823
22/10/2002: Se inicia OpenHack 4 http://www.hispasec.com/unaaldia/1458
22/10/2001: Fallo en Servicios de Terminal en Windows NT y 2000 http://www.hispasec.com/unaaldia/1093
22/10/2000: Compromiso de contraseñas en bases de datos MySQL http://www.hispasec.com/unaaldia/728
22/10/1999: Actualización de la máquina virtual Java de Microsoft http://www.hispasec.com/unaaldia/360
Claves PGP en http://www.hispasec.com/directorio/hispasec
Bajas: mailto:unaaldia-request@hispasec.com?subject=unsubscribe Altas: mailto:unaaldia-request@hispasec.com?subject=subscribe