-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden aangetroffen in RPKI-validators
Advisory ID     : NCSC-2021-0987
Versie          : 1.00
Kans            : medium
CVE ID          :
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : medium
                  Denial-of-Service (DoS)
Uitgiftedatum   : 20211109
Toepassing      : Cloudflare OctoRPKI
                  FORT Validator
                  NLnet Labs Routinator
                  OpenBSD rpki-client
                  RIPE NCC RPKI Validator
                  RPSTIR2
                  rpki-prover
Versie(s)       :
Platform(s)     : OpenBSD

Beschrijving
   Onderzoekers van de Universiteit Twente hebben kwetsbaarheden
   aangetroffen in diverse RPKI-validators. RPKI-validators worden
   gebruikt om te valideren dat een route die via BGP wordt verspreid
   afkomstig is van een AS dat geautoriseerd is om deze route te
   verspreiden.

   De kwetsbaarheden maken het voor een ongeauthenticeerde
   kwaadwillende mogelijk om een Denial-of-Service (DoS) op de
   RPKI-validator te veroorzaken. Dit heeft tot gevolg dat routes niet
   meer door RPKI worden gevalideerd. Voor het valideren van BGP-routes
   wordt daardoor teruggevallen op andere (mogelijk onveiligere)
   validatietechnieken.

   Voor de kwetsbaarheden zijn nog geen CVE-kenmerken beschikbaar
   gesteld. Niet elke RPKI-validator is voor elk van de door de
   onderzoeker gevonden kwetsbaarheden kwetsbaar.

Mogelijke oplossingen
   -= Cloudflare =-
   Cloudflare heeft aangegeven updates voor OctoRPKI beschikbaar te
   gaan stellen om de kwetsbaarheden te verhelpen. Voor actuele
   informatie, zie:

   https://github.com/cloudflare/cfrpki

   -= FORT =-
   De ontwikkelaar van FORT Validator hebben updates beschikbaar
   gesteld om de kwetsbaarheden te verhelpen. Voor meer informatie,
   zie:

   https://github.com/NICMx/FORT-validator/releases/tag/1.5.3

   -= NLnet Labs =-
   NLnet Labs heeft aangegeven updates voor Routinator beschikbaar te
   gaan stellen om de kwetsbaarheden te verhelpen. Voor meer
   informatie, zie:

   https://github.com/NLnetLabs/routinator

   -= OpenBSD =-
   De ontwikkelaars van OpenBSD hebben updates uitgebracht om de
   kwetsbaarheden te verhelpen in rpki-client 7.5. Voor meer
   informatie, zie:

   https://marc.info/?l=openbsd-tech&m=163646702631430
   https://marc.info/?l=openbsd-tech&m=163646660131121

   -= RIPE NCC =-
   RIPE NCC heeft aangegeven dat RPKI Validator 3 sinds 1 juli 2021
   niet meer wordt ondersteund en geen (beveiliging)updates meer
   ontvangt. Voor meer informatie over RPKI Validator 3, zie:

   https://github.com/RIPE-NCC/rpki-validator-3

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8
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=uZA5
-----END PGP SIGNATURE-----