Vulnerabilidad en BIND 9 (Envenenamiento de cache DNS)

Se ha anunciado una vulnerabilidad en BIND por la que en determinadas circunstancias un atacante remoto podría añadir registros a la caché DNS.

BIND 9 es el servidor DNS más extendido en Internet. Creado originalmente por cuatro estudiantes de la universidad de Berkeley (California), en los años 80, actualmente es mantenido por el consorcio ISC. El código de BIND se reescribió desde cero en parte debido a las numerosas vulnerabilidades que fueron apareciendo y la dificultad para implementar mejoras con la base de código anterior.

El problema reside en un error de validación en DNSSEC cuando recibe consultas recursivas. Esto podría ser aprovechado por un atacante remoto para enviar consultas recursivas y agregar una dirección arbitraria para un determinado dominio. Un atacante podría emplear este problema para conducir a usuarios a un servidor malicioso.

Se ven afectados los servidores DNS BIND con la validación DNSSEC habilitada.

ISC ha publicado una actualización para evitar este problema (9.4.3-P4, 9.5.2-P1, 9.6.1-P2), disponible desde:
https://www.isc.org/downloadables/11

Más información:

BIND 9 Cache Update from Additional Section
https://www.isc.org/node/504

Vía: Hispasec (una al día)