{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[],"affected_systems_content":"<P>Tout syst\u00e8me offrant un service DNS \u00e0 l'aide de BIND version 4  (4.9.5 \u00e0 4.9.10) ou 8 (8.1, 8.2 \u00e0 8.2.6 et 8.3.0 \u00e0 8.3.3).</P>","content":"## Description\n\nL'avis d'ISS identifie les probl\u00e8mes suivants :\n\n-   Il existe un d\u00e9bordement de m\u00e9moire dans la gestion des\n    enregistrements (\\`\\`rr, resource record'') de type SIG (RFC 2535)\n    au sein du cache. Un utilisateur mal intentionn\u00e9 contr\u00f4lant un DNS\n    autorit\u00e9 pour une zone pourrait alors ex\u00e9cuter du code arbitraire.\n-   En fabriquant une r\u00e9ponse UDP de grande taille, pour un sous-domaine\n    inexistant ou un domaine dont les DNS autorit\u00e9s sont inaccessibles,\n    il est possible de mettre fin au service.\n-   Comme dans le premier cas, le contr\u00f4le d'un DNS autorit\u00e9 permet de\n    fabriquer des enregistrements SIG avec une date d'expiration\n    invalide, pour lesquels une mauvaise gestion du cache conduit \u00e0\n    d\u00e9sallouer deux fois la m\u00e9moire correspondant et donc \u00e0 l'arr\u00eat du\n    service.\n\n## Contournement provisoire\n\nPour les rares cas o\u00f9 cela est possible (caches DNS ne r\u00e9pondant que\npour les domaines dont ils sont autorit\u00e9), d\u00e9sactiver la r\u00e9cursivit\u00e9 :\n\n-   BIND 4 : dans named.boot inclure options no-recursion.\n-   BIND 8 : dans named.conf inclure recursion no; dans l'entr\u00e9e options\n    {}.\n\nDans le cas de BIND 8, il est possible de restreindre les adresses IP\npour lesquelles la r\u00e9cursivit\u00e9 est autoris\u00e9e : utiliser une entr\u00e9e de la\nforme allow-recursion { adresse/masque; }; o\u00f9 adresse/masque correspond\naux adresses pour lesquelles l'usage du cache est l\u00e9gitime. Sans\nsupprimer les vuln\u00e9rabilit\u00e9s, cette option limite les opportunit\u00e9s de\nles activer.\n\n## Solution\n\n-   Migrer vers BIND 9 ou un autre programme de service DNS.\n\n-   Mise \u00e0 jour par ISC des fichiers sources :\n    -   Bind 8 :\n\n            http://www.isc.org/products/BIND/bind8.html\n\n    -   Bind 4 :\n\n            http://www.isc.org/products/BIND/bind4.html\n\n-   Red Hat Linux 6.2, 7.0, 7.1, 7.2 et 7.3\n\n        http://rhn.redhat.com/errata/RHSA-2002-133.html\n\n-   Linux Mandrake 7.2\n\n        http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2002:077\n\n-   Debian Linux\n\n        http://www.debian.org/secuirty/2002/dsa-196\n\n-   SuSE Linux 7.0, 7.1, 7.2, 7.3, 8.0 et 8.1\n\n        http://www.suse.com/de/security/2002_004_bind8.html\n\n-   Conectiva Linux 6.0\n\n        http://distro.conectiva.com/atualizacoes/?id=a&anuncio=000546\n\n-   OpenBSD 3.0, 3.1 et 3.2 (attention les versions 2 ne sont plus\n    maintenues)\n\n        http://www.openbsd.com/errata.html#named\n\n-   FreeBSD 4.4, 4.5, 4.6 et 4.7\n\n        ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-02%3A43.bind.asc\n","cves":[],"links":[{"title":"Avis de s\u00e9curit\u00e9 ISS :","url":"http://bvlive01.iss.net/issEn/delivey/xforce/alertdetail.jsp?uid=21469"},{"title":"Vuln\u00e9rabilit\u00e9s BIND recens\u00e9es par ISC et point de contact :","url":"http://www.isc.org/products/BIND/bind-security.html"},{"title":"Syntaxe de l'entr\u00e9e options dans BIND 8 :","url":"http://www.isc.org/products/BIND/docs/config/options.html"}],"reference":"CERTA-2002-AVI-246","revisions":[{"description":"version initiale.","revision_date":"2002-11-13T00:00:00.000000"},{"description":"rajout de correctifs constructeurs.","revision_date":"2002-11-19T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire"},{"description":"D\u00e9ni de service"}],"summary":"Trois failles diff\u00e9rentes ont \u00e9t\u00e9 identifi\u00e9es dans la fonction cache de\nBIND. Elles n\u00e9cessitent que la r\u00e9cursivit\u00e9 (\\`\\`recursion'' : capacit\u00e9 \u00e0\nconduire une r\u00e9solution \u00e0 la place des clients) soit activ\u00e9e, ce qui est\nle cas par d\u00e9faut. L'une d'entre elles permet l'ex\u00e9cution de code\narbitraire avec les privil\u00e8ges du service, les deux autres l'arr\u00eat du\nservice.\n","title":"Multiples vuln\u00e9rabilit\u00e9s sur les serveurs DNS BIND 4 et 8","vendor_advisories":[{"published_at":null,"title":"Avis Internet Security Systems du 12 novembre 2002","url":null}]}