2024-0387: Dnsmasq, OpenBSD, Unbound: Zwei Schwachstellen ermöglichen Denial-of-Service-Angriffe

Historie:

Version 1 (2024-02-14 09:29): Neues Advisory
Version 2 (2024-02-15 08:29): Für OpenBSD 7.3 und 7.4 stehen Sicherheitsupdates in Form von Quellcode-Patches zur Behebung der beiden Schwachstellen in 'unwind' und 'unbound' zur Verfügung. Für Fedora 39 steht ein Sicherheitsupdate in Form des Pakets 'unbound-1.19.1-2.fc39' im Status 'testing' bereit, um die Schwachstellen zu beheben.
Version 3 (2024-02-15 10:36): Für Debian 11 Bullseye (oldstable) steht Version 1.13.1-1+deb11u2 und für Debian 12 Bookworm (stable) steht Version 1.17.1-2+deb12u2 als Sicherheitsupdate zur Behebung der Schwachstellen in 'unbound' zur Verfügung.
Version 4 (2024-02-21 15:31): Für Debian 10 Buster (LTS) steht ein Sicherheitsupdate für 'unbound' in Version 1.9.0-2+deb10u4 bereit, um die Schwachstellen zu beheben.
Version 5 (2024-02-26 10:50): Für Red Hat Enterprise Linux for x86_64 / ARM 64 8 (x86_64, aarch64) stehen Sicherheitsupdates für 'unbound' bereit, um die beiden Schwachstellen zu beheben.
Version 6 (2024-02-26 17:23): Für Red Hat Enterprise Linux for x86_64 / ARM 64 9 (x86_64, aarch64) und Red Hat CodeReady Linux Builder for x86_64 / ARM 64 9 (x86_64, aarch64) stehen Sicherheitsupdates für 'unbound' bereit, um die beiden Schwachstellen zu beheben.
Version 7 (2024-02-27 12:05): Für Red Hat CodeReady Linux Builder for x86_64 / ARM 64 - Extended Update Support 9.2 (x86_64, aarch64), Red Hat Enterprise Linux for x86_64 / ARM 64 - Extended Update Support 8.8 und 9.2 (x86_64, aarch64), Red Hat Enterprise Linux Server - AUS 9.2 (x86_64), Red Hat Enterprise Linux Server - TUS 8.8 (x86_64) sowie Red Hat Enterprise Linux Server for ARM 64 - 4 years of updates 9.2 (aarch64) stehen Sicherheitsupdates für 'unbound' bereit, um die beiden Schwachstellen zu beheben.
Version 8 (2024-02-28 11:27): Für Oracle Linux 9 (x86_64, aarch64) stehen korrespondierende Sicherheitsupdates für 'unbound' bereit, um die beiden Schwachstellen zu beheben.
Version 9 (2024-02-29 08:24): Canonical stellt für Ubuntu 23.10, Ubuntu 22.04 LTS und Ubuntu 20.04 LTS Sicherheitsupdates für 'unbound' bereit, um die beiden Schwachstellen zu beheben.
Version 10 (2024-02-29 10:19): Für Oracle Linux 8 (x86_64, aarch64) stehen korrespondierende Sicherheitsupdates für 'unbound' bereit, um die beiden Schwachstellen zu beheben.
Version 11 (2024-03-15 08:07): Für Red Hat Enterprise Linux for x86_64 / ARM 64 8 und 9 (x86_64, aarch64) stehen Sicherheitsupdates für 'dnsmasq' bereit, um die beiden Schwachstellen zu beheben.
Version 12 (2024-03-15 17:25): Für Oracle Linux 9 (x86_64, aarch64) stehen korrespondierende Sicherheitsupdates für 'dnsmasq' bereit, um die beiden Schwachstellen zu beheben.
Version 13 (2024-03-18 07:54): Für Oracle Linux 8 (x86_64, aarch64) stehen korrespondierende Sicherheitsupdates für 'dnsmasq' bereit, um die beiden Schwachstellen zu beheben.
Version 14 (2024-03-27 10:13): Für Red Hat Enterprise Linux for x86_64 / for ARM 64 - Extended Update Support 9.2 (x86_64, aarch64), Red Hat Enterprise Linux Server - AUS 9.2 (x86_64) und Red Hat Enterprise Linux Server for ARM 64 - 4 Years of Updates 9.2 (aarch64) stehen Sicherheitsupdates für 'dnsmasq' bereit, um die Schwachstellen zu beheben.
Version 15 (2024-03-28 09:46): Für Red Hat Enterprise Linux for x86_64 / for ARM 64 - Extended Update Support 9.0 (x86_64, aarch64) Red Hat Enterprise Linux Server for ARM 64 - 4 Years of Updates 9.0 (aarch64) stehen Sicherheitsupdates für 'dnsmasq' bereit, um die Schwachstellen zu beheben.
Version 16 (2024-03-28 11:51): Die Schwachstellen betreffen auch das Modul 'unbound' von FreeBSD. Das FreeBSD-Projekt hat zur Behebung der Schwachstellen Sicherheitsupdates für die stabilen Versionen 13.2-STABLE und 14.0-STABLE sowie die korrigierten Versionen 13.2-RELEASE-p11 und 14.0-RELEASE-p6 bereitgestellt.

Betroffene Software

Entwicklung
Server
Systemsoftware

Betroffene Plattformen

Linux
Oracle
UNIX

Beschreibung:

Ein Angreifer kann zwei Schwachstellen aus der Ferne ausnutzen, um Denial-of-Service (DoS)-Angriffe durchzuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Für Fedora 38 und 39 stehen Sicherheitsupdates in Form der Pakete 'unbound-1.19.1-1.fc38' und 'dnsmasq-2.90-1' im Status 'testing' bereit, um die Schwachstellen zu beheben.

Schwachstellen:

CVE-2023-50387

Schwachstelle in ISC BIND ermöglicht Denial-of-Service-Angriff

CVE-2023-50868