Envenenamiento de cache DNS en BIND 9

Se ha anunciado una vulnerabilidad en BIND por la que en determinadas
circunstancias un atacante remoto podría añadir registros a la caché
DNS.

BIND 9 es el servidor DNS más extendido en Internet. Creado
originalmente por cuatro estudiantes de la universidad de Berkeley
(California), en los años 80, actualmente es mantenido por el consorcio
ISC. El código de BIND se reescribió desde cero en parte debido a las
numerosas vulnerabilidades que fueron apareciendo y la dificultad para
implementar mejoras con la base de código anterior.

El problema reside en un error de validación en DNSSEC cuando recibe
consultas recursivas. Esto podría ser aprovechado por un atacante remoto
para enviar consultas recursivas y agregar una dirección arbitraria para
un determinado dominio. Un atacante podría emplear este problema para
conducir a usuarios a un servidor malicioso.

Se ven afectados los servidores DNS BIND con la validación DNSSEC
habilitada.

ISC ha publicado una actualización para evitar este problema (9.4.3-P4,
9.5.2-P1, 9.6.1-P2), disponible desde:

https://www.isc.org/downloadables/11

Opina sobre esta noticia:

http://www.hispasec.com/unaaldia/4051/comentar

Más información:

BIND 9 Cache Update from Additional Section

https://www.isc.org/node/504