На security.freebsd.org появилась информация о трех серьезных уязвимостях во FreeBSD.
Для устранения уязвимостей предлагается обновиться до последней версии вашей ветки или применить патчи (подробности — по приведенным выше ссылкам). Разумеется, если вы не пользуетесь zfs, у вас не запущены named и ntpd, с обновлением можно не торопиться.
- Уязвимость в named. При запросе клиентом DNSSEC записи с CD (Checking Disabled) флагом, сервер может кэшировать непроверенные данные. Они могут быть посланы другому клиенту, даже если он не установил CD флаг.
Уязвимы все поддерживаемые ветки FreeBSD. Подробности — FreeBSD-SA-10:01.bind - Уязвимость в ntpd. При получении запроса MODE_PRIVATE (mode 7) или error-response от узла, не указанного в секциях restrict...noquery и restrict...ignore, соответствующая запись будет создана в лог-файле и даже послан ответ на error-response.
Злоумышленник может послать error-response с поддельным ip отправителя (например, с ip самого уязвимого ntpd сервера или второго также уязвимого ntpd сервера). Как следствие, сервер будет до бесконечности слать пакеты с error-response, замедляя работу сети, съедая ресурсы процессора, и свободное место на жестком диске, что рано или поздно приведет к DoS.
Уязвимы все поддерживаемые ветки FreeBSD. Подробности — FreeBSD-SA-10:02.ntpd - Уязвимость в ZFS ZIL. ZFS Intent Log («ZIL») — это механизм, позволяющий отложить операции записи на жесткий диск, производя их лишь в ОЗУ. В случае какого-либо сбоя (например, отключения питания), производится анализ intent-log-файла и на жесткий диск дописываются данные, потерянные в результате сбоя.
Уязвимость заключается в следующем. Если setattr транзакция не будет завершена из-за отключения питания или иного сбоя, при анализе log-файла вместо указанных в транзакции прав доступа будут выставлены 07777. Это может привести к повышению привилегий или чтению/изменению произвольного файла.
Уязвимость присутствует во FreeBSD >= 7.0. Подробности — FreeBSD-SA-10:03.zfs
Для устранения уязвимостей предлагается обновиться до последней версии вашей ветки или применить патчи (подробности — по приведенным выше ссылкам). Разумеется, если вы не пользуетесь zfs, у вас не запущены named и ntpd, с обновлением можно не торопиться.
