Diversos atacantes están explotando un fallo de alta gravedad que provoca un DoS en en el servicio DNS en el software popular en BIND (named). El falllo fue publicado a finales de septiembre y asignado como la vulnerabilidad CVE-2016-2776, explotable remotamente.







El servidor de nombres BIND es uno de los más usados en Internet. Creado en 1988, en la universidad de Berkeley, actualmente es desarrollado por el ISC (Internet System Consortium). BIND se encuentra disponible par una amplia gama de sistemas tanto Unix como Microsoft Windows.

Desde hace varios años BIND es el servidor DNS más utilizado en Internet. Es el sistema estándar de resolución de nombres en plataformas UNIX y se utiliza en 10 de los 13 servidores raíz del Sistema de Nombres de Dominio en Internet. Básicamente, es una de la función principal de toda la Internet.

ISC ha publicado nuevas versiones del servidor DNS BIND 9, destinadas a solucionar una vulnerabilidad considerada crítica que podría causar condiciones de denegación de servicio a través de consultas
especialmente manipuladas.

 "Las pruebas realizadas por ISC ha descubierto una condición de error crítico que puede ocurrir cuando un servidor de nombres está construyendo una respuesta. Un defecto en la prestación de los mensajes en paquetes puede causar un llamado para salir con un error de aserción en buffer.c durante la construcción de una respuesta a una consulta que cumple con ciertos criterios. ", Informó la alerta emitida por el ISC.



El fallo reside en la forma en servidor DNS construye una respuesta a determinadas consultas, cuando la respuesta tiene un tamaño mayor que el valor predeterminado 512 que desencadenan la condición de denegación debido a la caída del proceso del servidor de nombres BIND.

La vulnerabilidad, con CVE-2016-2776, se puede producir cuando un servidor de nombres construye una respuesta. Un error en la construcción de mensajes en paquetes puede provocar la caída de named por un fallo de aserción en buffer.c mientras se construye una respuesta a una consulta que cumple determinados criterios.

La situación de aserción se puede provocar incluso si la dirección de origen no tiene permitido realizar consultas (es decir, no cumple 'allow-query').



De acuerdo con la Internet Systems Consortium (ISC), después de la divulgación pública del código de prueba de concepto (PoC) y un módulo de Metasploit por la firma Infobyte, se ha empezado a explotar el fallo para causar caídas del servidor.

• http://blog.infobytesec.com/2016/10/a-tale-of-dns-packet-cve-2016-2776.html

01  not (r.length < msg->reserved) and (r.length - DNS_MESSAGE_HEADERLEN < msg->reserved)

02  (r.length >= msg->reserved) and (r.length - DNS_MESSAGE_HEADERLEN < msg >reserved)

03  r.length - DNS_MESSAGE_HEADERLEN < msg->reserved <= r.length

• https://github.com/infobyte/CVE-2016-2776/blob/master/namedown.py

Se recomienda actualizar a las versiones más recientes BIND 9.9.9-P3,

 9.10.4-P3 y 9.11.0rc3, disponibles en:
http://www.isc.org/downloads.


Más información:

CVE-2016-2776: Assertion Failure in buffer.c While Building Responses to a Specifically Constructed Request
https://kb.isc.org/article/AA-01419/74/CVE-2016-2776%3A-Assertion-Failure-in-buffer.c-While-Building-Responses-to-a-Specifically-Constructed-Request.html

BIND 9.9.9-P3 Release Notes
https://kb.isc.org/article/AA-01425/81/BIND-9.9.9-P3-Release-Notes.html

BIND 9.10.4-P3 Release Notes
https://kb.isc.org/article/AA-01424/81/BIND-9.10.4-P3-Release-Notes.html

BIND 9.11.0rc3 Release Notes
https://kb.isc.org/article/AA-01422/81/BIND-9.11.0rc3-Release-Notes.html

Fuentes:
http://unaaldia.hispasec.com/2016/09/nuevas-versiones-de-bind-9.html
http://securityaffairs.co/wordpress/52224/cyber-crime/bind-flaw.html