[转载]ISC BIND多个拒绝服务漏洞
信息来源：绿盟科技发布日期：2006-09-05
更新日期：2006-09-07
受影响系统：
FreeBSD FreeBSD 6.1
FreeBSD FreeBSD 6.0
FreeBSD FreeBSD 5.5
FreeBSD FreeBSD 5.4
FreeBSD FreeBSD 5.3
ISC BIND < 9.2.6-P1
ISC BIND 9.3.x < 9.3.2-P1
不受影响系统：
ISC BIND 9.3.2-P1
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 19859
CVE(CAN) ID: CVE-2006-4095,CVE-2006-4096
BIND是一个应用非常广泛的DNS协议的实现，由ISC负责维护，具体的开发由Nominum([url]www.nominum.com[/url])公司来完成。
ISC BIND的实现上存在多个拒绝服务漏洞，远程攻击者可能利用此漏洞导致BIND拒绝服务。
BIND在处理SIG查询时存在断言错误。如果返回了多于一个的SIG(covered) RRset的话，就会导致递归服务器崩溃；或者对于权威服务器，如果名称服务器服务于RFC 2535 DNSSEC区且被查询了有多个SIG(covered) RRset的SIG记录（如zone apex），则在创建响应的时候也会触发类似的错误。
BIND在处理多个递归查询时也存在拒绝服务漏洞。如果在所有查找响应的客户端离开了递归队列后才发送查询响应的话，就会触发INSIST失败。
<*来源：Joao Damas
链接：[url]http://secunia.com/advisories/21752/[/url]
[url]http://www.kb.cert.org/vuls/id/697164[/url]
[url]http://www.kb.cert.org/vuls/id/915404[/url]
[url]http://www.niscc.gov.uk/niscc/docs/re-20060905-00590.pdf?lang=en[/url]
[url]ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-06:20.bind.asc[/url]
*>
建议：
--------------------------------------------------------------------------------
临时解决方法：
* 仅允许可信任的客户端执行递归查询。
厂商补丁：
FreeBSD
-------
FreeBSD已经为此发布了一个安全公告（FreeBSD-SA-06:20）以及相应补丁:
FreeBSD-SA-06:20：Denial of Service in named(8)
链接：[url]ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-06:20.bind.asc[/url]
补丁下载：
执行以下步骤之一:
1) 将有漏洞的系统升级到4-STABLE, 5-STABLE或6-STABLE,或修改日期之后的RELENG_6_1,
RELENG_6_0, RELENG_5_5, RELENG_5_4或RELENG_5_3安全版本.
2) 为当前系统打补丁:
以下补丁确认可应用于FreeBSD 5.3, 5.4, 5.5, 6.0和6.1系统.
a) 从以下位置下载相关补丁,并使用PGP工具验证附带的PGP签名.
# fetch [url]http://security.FreeBSD.org/patches/SA-06:20/bind.patch[/url]
# fetch [url]http://security.FreeBSD.org/patches/SA-06:20/bind.patch.asc[/url]
b) 以root执行以下命令:
# cd /usr/src
# patch < /path/to/patch
# cd /usr/src/lib/bind
# make obj && make depend && make && make install
# cd /usr/src/usr.sbin/named
# make obj && make depend && make && make install
c) 重启named应用程序:
# /etc/rc.d/named restart
ISC
---
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
[url]http://www.isc.org/sw/dl/?pkg=bind9/9.3.2-P1/bind-9.3.2-P1.tar.gz&name=BIND%209.3.2[/url]
页:
[1]