Estimados,

Cuidado con los BIND 9 viejos, o más nuevos que vengan de terceros y cuya rama no tenga el parche #3548

Saludos Manuel Cano

---------- Mensaje reenviado ---------- De: noticias@hispasec.com Fecha: 23 de octubre de 2016, 19:14 Asunto: una-al-dia (22/10/2016) Denegación de servicio en versiones antiguas de BIND 9 Para: unaaldia@uad.hispasec.com

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1

Hispasec - una-al-día 22/10/2016 Todos los días una noticia de seguridad www.hispasec.com Síguenos en Twitter: http://twitter.com/unaaldia Noticia en formato HTML: http://unaaldia.hispasec.com/2 016/10/denegacion-de-servicio-en-versiones.html

Denegación de servicio en versiones antiguas de BIND 9

ISC ha publicado un aviso en el que informa de una vulnerabilidad de denegación de servicio en versiones del servidor DNS BIND 9 anteriores a mayo de 2013.

El servidor de nombres BIND es uno de los más usados en Internet. Creado en 1988, en la universidad de Berkeley, actualmente es desarrollado por el ISC (Internet System Consortium). BIND se encuentra disponible para una amplia gama de sistemas tanto Unix como Microsoft Windows.

El problema, con CVE-2016-2848, reside en que un paquete con la sección de opciones específicamente construida puede provocar un fallo de aserción, con la consiguiente caída del servicio. El problema fue corregido en las versiones de BIND distribuidas por ISC en mayo de 2013. Sin embargo algunas versiones de BIND, distribuidas por otras partes, siguen siendo vulnerables al no contener el cambio #3548.

Afecta a versiones de BIND 9.1.0 a 9.8.4-P2 y 9.9.0 a 9.9.2-P2, que no incluyan el cambio #3548 (anteriores a mayo de 2013).

Se recomienda actualizar a las versiones más recientes BIND 9.9.9-P3, 9.10.4-P3 y 9.11.0, disponibles en: http://www.isc.org/downloads.

Opina sobre esta noticia: http://unaaldia.hispasec.com/2016/10/denegacion-de-servicio- en-versiones.html#comment-form

Más información:

CVE-2016-2848: A packet with malformed options can trigger an assertion failure in ISC BIND versions released prior to May 2013 and in packages derived from releases prior to that date. https://kb.isc.org/article/AA-01433

Antonio Ropero antonior@hispasec.com Twitter: @aropero

Tal día como hoy:

22/10/2015: Actualización de múltiples productos Apple: iOS, OS X Server, OS X, Safari, iTunes, Mac EFI, Watch OS y Xcode http://www.hispasec.com/unaaldia/6207

22/10/2014: Diversas vulnerabilidades en PHP http://www.hispasec.com/unaaldia/5842

22/10/2013: Vulnerabilidad en dispositivos Cisco Video Surveillance 4000 Series IP Camera http://www.hispasec.com/unaaldia/5477

22/10/2012: Adobe soluciona seis vulnerabilidades críticas en Shockwave Player http://www.hispasec.com/unaaldia/5112

22/10/2011: Revelación de información sensible en Joomla! http://www.hispasec.com/unaaldia/4746

22/10/2010: Los nuevos Mac no vendrán con Flash Player preinstalado http://www.hispasec.com/unaaldia/4381

22/10/2009: Actualización del kernel para Red Hat Enterprise Linux 4 http://www.hispasec.com/unaaldia/4016

22/10/2008: Diversos problemas de seguridad en el navegador Opera http://www.hispasec.com/unaaldia/3651

22/10/2007: Vulnerabilidad en RealPlayer permite ejecución de código http://www.hispasec.com/unaaldia/3285

22/10/2006: Denegación local de servicio a través de TCP Fusion Code en Solaris 10 http://www.hispasec.com/unaaldia/2920

22/10/2005: Vulnerabilidades en Ethereal por problemas con analizadores de protocolos http://www.hispasec.com/unaaldia/2555

22/10/2004: Actualización para Sun Solaris por vulnerabilidad en LDAP con RBAC http://www.hispasec.com/unaaldia/2190

22/10/2003: Denegación de servicio en eMule http://www.hispasec.com/unaaldia/1823

22/10/2002: Se inicia OpenHack 4 http://www.hispasec.com/unaaldia/1458

22/10/2001: Fallo en Servicios de Terminal en Windows NT y 2000 http://www.hispasec.com/unaaldia/1093

22/10/2000: Compromiso de contraseñas en bases de datos MySQL http://www.hispasec.com/unaaldia/728

22/10/1999: Actualización de la máquina virtual Java de Microsoft http://www.hispasec.com/unaaldia/360

Claves PGP en http://www.hispasec.com/directorio/hispasec

Bajas: mailto:unaaldia-request@hispasec.com?subject=unsubscribe Altas: mailto:unaaldia-request@hispasec.com?subject=subscribe

(c) 2016 Hispasec http://www.hispasec.com/copyright