-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

######################## UPDATE 1.01 #############################

Titel           : Kwetsbaarheden verholpen in BIND
Advisory ID     : NCSC-2022-0195
Versie          : 1.01
Kans            : medium
CVE ID          : CVE-2021-25220, CVE-2022-0396, CVE-2022-0635,
                  CVE-2022-0667
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: http://cve.mitre.org/cve/)
Schade          : high
                  Denial-of-Service (DoS)
                  Spoofing
Uitgiftedatum   : 20220318
Toepassing      : ISC BIND
Versie(s)       : < 9.11.37
                  < 9.16.27
                  < 9.18.1
Platform(s)     : Ubuntu

Update
   Canonical heeft updates beschikbaar gesteld voor Ubuntu 18.04 LTS,
   20.04 LTS en 21.10 om de kwetsbaarheden met kenmerk CVE-2021-25220
   en CVE-2022-0396 te verhelpen. Zie "Mogelijke oplossingen" voor meer
   informatie.

Beschrijving
   Het Internet Systems Consortium (ISC) heeft kwetsbaarheden verholpen
   in BIND. Een ongeauthenticeerde kwaadwillende op afstand kan de
   kwetsbaarheden misbruiken voor het uitvoeren van een
   cache-poisoning-aanval of het veroorzaken van een denial-of-service.

   Een van de verholpen kwetsbaarheden heeft het kenmerk CVE-2022-0635
   gekregen. Deze kwetsbaarheid bevindt zich in de implementatie van
   DNSSEC en maakt het voor een kwaadwillende mogelijk om een
   denial-of-service te bewerkstelligen. Hiertoe dient achtereenvolgens
   een aantal specifieke DNS-verzoeken naar de DNS-server te worden
   verstuurd. Enkel servers waarop 'dnssec-validation' en
   'synth-from-dnssec' zijn ingeschakeld, zijn kwetsbaar.
   'dnssec-validation' staat standaard op 'auto' ingesteld tenzij dit
   in 'named.conf' is aangepast. Wanneer 'dnssec-validation' wordt
   gebruikt is 'synth-from-dnssec' impliciet ingeschakeld tenzij deze
   optie in de configuratie expliciet wordt uitgeschakeld.

   Net als CVE-2022-0635 kan ook de kwetsbaarheid met kenmerk
   CVE-2022-0667 worden misbruikt voor het veroorzaken van een
   denial-of-service. Deze kwetsbaarheid wordt veroorzaakt door een
   tekortkoming in de manier waarop DS-records worden geforward. Een
   kwaadwillende kan de kwetsbaarheid misbruiken voor het veroorzaken
   van een zogenaamde assertion failure waardoor BIND crasht.

Mogelijke oplossingen
   ISC heeft updates uitgebracht om de kwetsbaarheden te verhelpen in
   BIND 9.11.37, 9.16.27 en 9.18.1. Voor meer informatie, zie:

   https://www.isc.org/download/

   CVE-2021-25220:
   https://kb.isc.org/docs/cve-2021-25220

   CVE-2022-0396:
   https://kb.isc.org/docs/cve-2022-0396

   CVE-2022-0635:
   https://kb.isc.org/docs/cve-2022-0635

   CVE-2022-0667:
   https://kb.isc.org/docs/cve-2022-0667

   -= Ubuntu =-
   Canonical heeft updates beschikbaar gesteld voor Ubuntu 18.04 LTS,
   20.04 LTS en 21.10 om de kwetsbaarheden met kenmerk CVE-2021-25220
   en CVE-2022-0396 te verhelpen. U kunt de aangepaste packages
   installeren door gebruik te maken van 'apt-get update' en 'apt-get
   upgrade'. Meer informatie kunt u vinden op onderstaande pagina:

   https://ubuntu.com/security/notices/USN-5332-1

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8
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=81cA
-----END PGP SIGNATURE-----