https://www.opennet.ru/openforum/vsluhforumID3/111621.html Консорциум ISC представил новые выпуски DNS-сервера BIND 9.11.1-P2 (http://www.mail-archive.com/bind-announce@lists.isc.org/msg00469.html), 9.10.5-P2 (http://www.mail-archive.com/bind-announce@lists.isc.org/msg00468.html) и 9.9.10-P2 (http://www.mail-archive.com/bind-announce@lists.isc.org/msg00467.html), в которых устранены четыре уязвимости. Уязвимости CVE-2017-3142 (https://kb.isc.org/article/AA-01504) и CVE-2017-3143 (https://kb.isc.org/article/AA-01503) связанны с возможностью обхода механизмов аутентификации TSIG и позволяют удалённому атакующему выполнить операции динамического обновления или AXFR-передачи содержимого DNS-зоны без наличия ключа TSIG. <br><br><br>Уязвимость СVE-2017-3140 (http://www.mail-archive.com/bind-announce@lists.isc.org/msg00459.html) проявляется в некоторых конфигурациях RPZ (Response Policy Zones) и позволяет вызвать отказ в обслуживании через инициирование зацикливания при обработке ответка с нулевым TTL. Уязвимость CVE-2017-3141 (http://www.mail-archive.com/bind-announce@lists.isc. https://www.opennet.ru/openforum/vsluhforumID3/111621.html#19 Sat, 01 Jul 2017 17:49:08 GMT Маршрутизатор заглядывает на прикладной уровень и смотрит DNS'ный TTL? А почта, идущая на foo@localhost должна быть отброшена маршрутизатором?<br> https://www.opennet.ru/openforum/vsluhforumID3/111621.html#18 Sat, 01 Jul 2017 10:15:55 GMT &gt; Чёйта?! Точно так же как и в линуксе к примеру. <br>&gt; Как настроишь - так и будет....<br><br>Понятно, настройки по умолчанию все еще не изменились. <br>И правильно - легаси и обратная совместимость с win 9.x рулят, да. <br>Это же не кнопка пуск или плиточки, в виде новаторства впарить не очень выйдет, а вот проблем с поддержкой и всевозможным старьем не оберешься.<br><br><br> https://www.opennet.ru/openforum/vsluhforumID3/111621.html#17 Fri, 30 Jun 2017 17:47:50 GMT Уязвимость, которая по умолчанию выключена (в Debian, как минимум) и требует использования DNS-сервера злоумышленника vs обход TSIG для AXFR зон. Хорошо, что у меня все Bind зафаерволены по самое небалуй и принимают трансферы зон только с одного доверенного IP из подсети, которая за пределами AS даже не видна. А то я бы уже нервничал.<br> https://www.opennet.ru/openforum/vsluhforumID3/111621.html#16 Fri, 30 Jun 2017 17:38:53 GMT Чёйта?! Точно так же как и в линуксе к примеру. Как настроишь - так и будет....<br> https://www.opennet.ru/openforum/vsluhforumID3/111621.html#15 Fri, 30 Jun 2017 17:37:17 GMT А можно это сделаю я? <br><br>Сравни новость с:<br>Критическая уязвимость в systemd: удалённое выполнение кода<br>...<br>Уязвимость существует на протяжении 2 лет, начиная с systemd 223 и заканчивая последней 233.<br><br>и подумай. На bind'ах тоже было несладко 10-15-20 лет назад :) Но более-менее зашкурили и закрасили :-))) А с лёниным изделием следующие года будут явно нескучными ....<br> https://www.opennet.ru/openforum/vsluhforumID3/111621.html#14 Fri, 30 Jun 2017 14:21:22 GMT &gt; Уязвимость CVE-2017-3141 (http://www.mail-archive.com/bind-announce@lists.isc.org/msg00460.html) <br>&gt; затрагивает установщик для Windows и позволяет локальному пользователю через манипуляцию <br>&gt; с неэкранированными путями повысить свои привилегии.<br><br>Т.е. на венде возможность создавать файлы вне хомяка и тмп для любого пользователя -- все еще норма? Сикурити аж изо всех щелей, да!<br> https://www.opennet.ru/openforum/vsluhforumID3/111621.html#13 Fri, 30 Jun 2017 12:51:09 GMT Речь про DNS'ный TTL. Время жизни записи.<br> https://www.opennet.ru/openforum/vsluhforumID3/111621.html#12 Fri, 30 Jun 2017 12:21:48 GMT Сейчас тебе костномозглые сверхразумы расскажут, что в systemd баг потому что там дураки, а тут два бага потому что система сложная :)<br> https://www.opennet.ru/openforum/vsluhforumID3/111621.html#11 Fri, 30 Jun 2017 10:53:13 GMT &gt;&gt; Уязвимость CVE-2017-3141 затрагивает установщик для Windows и позволяет локальному <br>&gt;&gt; пользователю через манипуляцию <br>&gt;&gt; с неэкранированными путями повысить свои привилегии.<br>&gt; BIND для Win? А, хм, нафейхоа?<br><br>а вдруг роскомнадзор убунту забанит?<br>