Foi revelado que uma expressão regular maliciosa pode causar favorecer ataques DoS (Denial-of-Service) no BIND DNS em sistemas Linux e Unix. Outros programas que utilizam libdns BIND, também são potencialmente vulneráveis ao ataque mesmo. O bug crítico permite o atacante causar um consumo excessivo de memória pelo processo que poderia levar ao daemon usar toda a memória disponível na máquina afetada, o que poderia levar à queda do BIND e afetar outros serviços executados no mesmo servidor.
O problema foi relatado no CVE-2013-2266 e apenas afeta as versões Linux e Unix do BIND – reforçando que a falha não está presente nas versões Windows do programa. As versões vulneráveis incluem 9.7.x, 9.8.0 a 9.8.5b1 e 9.9.0 a 9.9.3b1 do BIND. Versões anteriores ao BIND 9.7.0 não são vulneráveis; o BIND 10 não é afetado pela vulnerabilidade crítica que foi detectada.
As aplicações que utilizam a biblioteca libdns BIND também são afectados e devem ser atualizadas o mais rápido possível.
O Internet Systems Consortium (ISC), que mantém o BIND, aponta que a falha não é muito difícil de ser explorada e recomenda uma ação imediata por proprietários de servidores com BIND para garantir que os seus sistemas não sejam afetados.
Com informações de The H Online.
