Beveiligingsadviezen

Beveilingsadvies; NCSC-2022-0195

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in BIND
Advisory ID     : NCSC-2022-0195
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2021-25220, CVE-2022-0396, CVE-2022-0635,
                  CVE-2022-0667
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Denial-of-Service (DoS)
                  Spoofing
Uitgiftedatum   : 20220317
Toepassing      : ISC BIND
Versie(s)       : < 9.11.37
                  < 9.16.27
                  < 9.18.1
Platform(s)     :

Beschrijving
   Het Internet Systems Consortium (ISC) heeft kwetsbaarheden verholpen
   in BIND. Een ongeauthenticeerde kwaadwillende op afstand kan de
   kwetsbaarheden misbruiken voor het uitvoeren van een
   cache-poisoning-aanval of het veroorzaken van een denial-of-service.

   Een van de verholpen kwetsbaarheden heeft het kenmerk CVE-2022-0635
   gekregen. Deze kwetsbaarheid bevindt zich in de implementatie van
   DNSSEC en maakt het voor een kwaadwillende mogelijk om een
   denial-of-service te bewerkstelligen. Hiertoe dient achtereenvolgens
   een aantal specifieke DNS-verzoeken naar de DNS-server te worden
   verstuurd. Enkel servers waarop 'dnssec-validation' en
   'synth-from-dnssec' zijn ingeschakeld, zijn kwetsbaar.
   'dnssec-validation' staat standaard op 'auto' ingesteld tenzij dit
   in 'named.conf' is aangepast. Wanneer 'dnssec-validation' wordt
   gebruikt is 'synth-from-dnssec' impliciet ingeschakeld tenzij deze
   optie in de configuratie expliciet wordt uitgeschakeld.

   Net als CVE-2022-0635 kan ook de kwetsbaarheid met kenmerk
   CVE-2022-0667 worden misbruikt voor het veroorzaken van een
   denial-of-service. Deze kwetsbaarheid wordt veroorzaakt door een
   tekortkoming in de manier waarop DS-records worden geforward. Een
   kwaadwillende kan de kwetsbaarheid misbruiken voor het veroorzaken
   van een zogenaamde assertion failure waardoor BIND crasht.

Mogelijke oplossingen
   ISC heeft updates uitgebracht om de kwetsbaarheden te verhelpen in
   BIND 9.11.37, 9.16.27 en 9.18.1. Voor meer informatie, zie:

   https://www.isc.org/download/

   CVE-2021-25220:
   https://kb.isc.org/docs/cve-2021-25220

   CVE-2022-0396:
   https://kb.isc.org/docs/cve-2022-0396

   CVE-2022-0635:
   https://kb.isc.org/docs/cve-2022-0635

   CVE-2022-0667:
   https://kb.isc.org/docs/cve-2022-0667

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8
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=UgJk
-----END PGP SIGNATURE-----