For the English version of this alert, click here.
Allele Security Alert
ASA-2018-00036
Identificador(es)
ASA-2018-00036, CVE-2018-14626
Título
Poluição do cache de pacotes por meio de consultas criadas
Fabricante(s)
PowerDNS
Produto(s)
PowerDNS Recursor
PowerDNS Authoritative
Versão(ões) afetada(s)
PowerDNS Authoritative da versão 4.1.0 até e incluindo 4.1.4
PowerDNS Recursor da versão 4.0.0 até e incluindo 4.1.4
Versão(ões) corrigida(s)
PowerDNS Authoritative 4.1.5, 4.0.x
PowerDNS Recursor 4.1.5, 4.0.9
Prova de conceito
Desconhecido
Descrição
Foi encontrado um problema no PowerDNS Authoritative Server permitindo que um usuário remoto crie uma consulta DNS que faça com que uma resposta sem registros DNSSEC seja inserida no cache de pacotes e seja retornada aos clientes solicitando registros DNSSEC, ocultando assim a presença de assinaturas DNSSEC para um qname e qtype específicos. Para um domínio assinado pelo DNSSEC, isso significa que os clientes de validação do DNSSEC considerarão a resposta falsa até que ela expire do cache de pacotes, levando a uma negação de serviço.
Foi encontrado um problema no PowerDNS Recursor permitindo que um usuário remoto crie uma consulta DNS que faça com que uma resposta sem registros DNSSEC seja inserida no cache de pacotes e seja retornada aos clientes solicitando registros DNSSEC, ocultando assim a presença de assinaturas DNSSEC para um qname e qtype específicos. Para um domínio assinado pelo DNSSEC, isso significa que os clientes que executam a validação do DNSSEC por si só podem considerar a resposta falsa até que ela expire do cache de pacotes, levando a uma negação de serviço.
Referência(s)
PowerDNS Security Advisories 2018-03, 2018-04, 2018-05, 2018-06 and 2018-07
https://seclists.org/oss-sec/2018/q4/137
PowerDNS Security Advisory 2018-05: Packet cache pollution via crafted query
https://doc.powerdns.com/authoritative/security-advisories/powerdns-advisory-2018-05.html
PowerDNS Security Advisory 2018-06: Packet cache pollution via crafted query
https://doc.powerdns.com/recursor/security-advisories/powerdns-advisory-2018-06.html
CVE-2018-14626-auth-4.1.4.patch
https://downloads.powerdns.com/patches/2018-05/CVE-2018-14626-auth-4.1.4.patch
CVE-2018-14626-rec-4.0.8.patch
https://downloads.powerdns.com/patches/2018-06/CVE-2018-14626-rec-4.0.8.patch
CVE-2018-14626-rec-4.1.4.patch
https://downloads.powerdns.com/patches/2018-06/CVE-2018-14626-rec-4.1.4.patch
CVE-2018-14626
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-14626
CVE-2018-14626
https://nvd.nist.gov/vuln/detail/CVE-2018-14626
Se encontrou algum erro neste alerta ou deseja uma análise compreensiva, entre em contato.
Última modificação: 9 novembro 2018