• IT-Karriere:
  • Services:

DNS-Server: Sicherheitslücke in BIND, Unbound und PowerDNS

Durch geschickt konfigurierte DNS-Records lassen sich DNS-Resolver in eine Endlosschleife versetzen. Dieselbe Lücke betrifft gleich drei populäre DNS-Server.

Artikel veröffentlicht am , Hanno Böck
Die französische Sicherheitsbehörde ANSSI warnt vor einer DNS-Sicherheitslücke.
Die französische Sicherheitsbehörde ANSSI warnt vor einer DNS-Sicherheitslücke. (Bild: ANSSI)

Die Entwickler der DNS-Server PowerDNS, Unbound und BIND haben Warnungen vor einer Sicherheitslücke veröffentlicht. Alle drei sind vom selben Problem betroffen: Durch die Delegation-Funktion von DNS können sich die Server in einer Endlosschleife verfangen. Dadurch lässt sich der Betrieb der DNS-Server lahmlegen. Entdeckt wurde das Problem von Florian Maury, einem Mitarbeiter der französischen Behörde ANSSI (Agence nationale de la sécurité des systèmes d'information).

Stellenmarkt
  1. CCV Deutschland GmbH, Au i. d. Hallertau
  2. operational services GmbH & Co. KG, Braunschweig, Wolfsburg

Die Delegation-Funktion von DNS dient dazu, dass ein DNS-Server die Zuständigkeit für eine bestimmte Subdomain an einen weiteren DNS-Server weiterreichen kann. Das Problem: Diese Weiterreichungen können bei den betroffenen Programmen ohne jegliche Limits stattfinden. Durch eine bösartig konfigurierte Domain kann sich somit ein DNS-Resolver in einer Endlosschleife verfangen. Eine Ausführung von bösartigem Code ist damit nicht möglich, die Lücke kann lediglich dazu führen, dass ein DNS-Server überlastet wird und für legitime Anfragen nicht mehr erreichbar ist.

Da die Sicherheitslücke in drei verschiedenen Programmen entdeckt wurde, sind möglicherweise weitere DNS-Resolver davon betroffen. Nicht betroffen ist der DNS-Server djbdns.

Die Entwickler von PowerDNS hatten bereits unabhängig von dem Bericht der ANSSI ein Limit für die Weiterleitungen eingeführt. Der Anlass dafür war, dass die Entwickler auf eine fehlerhaft konfigurierte Domain gestoßen sind, die ein ähnliches Problem ausgelöst hat. Für BIND und Unbound wurden ebenfalls korrigierte Versionen mit einem Limit für die Delegations veröffentlicht.

Wer einen der entsprechenden DNS-Server als Resolver betreibt, sollte seine Software umgehend aktualisieren. In Unbound ist das Problem in der Version 1.5.1 behoben, im PowerDNS-Recursor in der Version 3.6.2. BIND hat das Problem zusammen mit einer weiteren Sicherheitslücke in der GeoIP-Funktion in den Versionen 9.10.1-p1 und 9.9.6-P1 behoben. Die jeweiligen Sicherheitslücken haben die IDs CVE-2014-8500 (BIND), CVE-204-8601 (PowerDNS) und CVE-2014-8602 (Unbound) erhalten. Die unabhängig davon in BIND entdeckte GeoIP-Lücke hat die ID CVE-2014-8680.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. täglich neue Deals bei Alternate.de

ITsMe 10. Dez 2014

Das Problem ist nicht das er fehler hat (sonst könnte man keine software mehr...


Folgen Sie uns
       


Blackmagic Pocket Cinema Camera 6k im Test

Die neue Pocket Cinema Camera 6k von Blackmagicdesign hat nur wenig mit DSLR-Kameras gemein. Die Kamera liefert Highend-Qualität, erfordert aber entsprechendes Profiwissen - und wir vermissen einige Funktionen.

Blackmagic Pocket Cinema Camera 6k im Test Video aufrufen
Social Engineering: Die Mitarbeiter sind unsere Verteidigung
Social Engineering
"Die Mitarbeiter sind unsere Verteidigung"

Prävention reicht nicht gegen Social Engineering und die derzeitigen Trainings sind nutzlos, sagt der Sophos-Sicherheitsexperte Chester Wisniewski. Seine Lösung: Mitarbeiter je nach Bedrohungslevel schulen - und so schneller sein als die Kriminellen.
Ein Interview von Moritz Tremmel

  1. Social Engineering Mit künstlicher Intelligenz 220.000 Euro erbeutet
  2. Social Engineering Die unterschätzte Gefahr

Need for Speed Heat im Test: Temporausch bei Tag und Nacht
Need for Speed Heat im Test
Temporausch bei Tag und Nacht

Extrem schnelle Verfolgungsjagden, eine offene Welt und viel Abwechslung dank Tag- und Nachtmodus: Mit dem Arcade-Rennspiel Heat hat Electronic Arts das beste Need for Speed seit langem veröffentlicht. Und das sogar ohne Mikrotransaktionen!
Von Peter Steinlechner

  1. Electronic Arts Need for Speed Heat saust durch Miami

Tesla-Fabrik in Brandenburg: Remote, Germany
Tesla-Fabrik in Brandenburg
Remote, Germany

Elon Musk steht auf Berlin, doch industrielle Großprojekte sind nicht die Stärke der Region. Ausgerechnet in die Nähe der ewigen Flughafen-Baustelle BER will Tesla seine Gigafactory 4 platzieren. Was spricht für und gegen den Standort Berlin/Brandenburg?
Eine Analyse von Dirk Kunde

  1. Gigafactory Tesla soll 4 Milliarden Euro in Brandenburg investieren
  2. 7.000 Arbeitsplätze Tesla will Gigafactory bei Berlin bauen
  3. Irreführende Angaben Wettbewerbszentrale verklagt Tesla wegen Autopilot-Werbung

    •  /