[Previo por Fecha] [Siguiente por Fecha] [Previo por Hilo] [Siguiente por Hilo]
[Hilos de Discusión] [Fecha] [Tema] [Autor]On Fri, 2002-06-28 at 20:29, Sandino Araico Sánchez wrote: > Pues sigue cerrando fuerte la semana de los agujeros.... > > Peimero Apache, luego mod_ssl, lo del OpenSSH desató polémica > > Y ahora sigue BIND, el servidor de nombres (DNS) favorito de muchos. > > El anexo lo explica todo, pero en resumen hay actualizaciones para 4.x.y > y para 8.x.y pero no hay actualizaciones para 9.x.y. Momento! El anexo lo explica todo, sólo que hay que leerlo completo. La vulnerabilidad en sí no está en el servidor de nombres, sino en la biblioteca de resolución de nombres (libresolv), que en el caso de nuestros queridos linuxes no suele ser parte de bind sino de glibc, así que las aplicaciones potencialmente vulnerables son todas aquellas de red que tienen que resolver nombres, y que están ligadas, normalmente en forma dinámica, (pero a veces en forma indirecta *) con libresolv. En particular y para este hueco, el servidor de nombres "named" de bind 9.2.x NO es vulnerable, así que correrlo "chrooteado" es inecesario. Pero, por ejemplo, en el caso de RH73, la última glibc es 2.2.5-36, que para libresolv usa el código de bind 8.2.5, por lo que (en teoría **) SI es vulnerable. Por otro lado, si el servidor de nombres que usa la maquina en cuestión (vease /etc/resolv.conf) está corriendo bind 9x, según el anexo las aplicaciones quedan automáticamente protegidas, pues el servidor de nombres reconstruye las respuestas previniendo que las maliciosas lleguen a las aplicaciones vulnerables. En resumen, más que preocuparse por la versión de bind (named) que tengan instalada, preocupense por las aplicaciones en máquinas que NO lo tienen instalado y que usan DNS de terceros, pues el "fix" vendrá con una nueva glibc y no con una nueva bind. Saludos Salvador Ortiz Notas: * Via nsswitch. Alguna vez se han preguntado todas las vueltas que puede dar un gethostbyaddr(3)? ** En teoría, pues tanto Cygnus como RH le han puesto un montón de parches, en una de esas ya está resuelto. _______________________________________________ Ayuda mailing list Ayuda en linux org mx Para salir de la lista: http://mail.linux.org.mx/mailman/listinfo/ayuda/