CVE: CVE-2015-1349

文档版本：2.0

发布日期：2015年2月18日

受影响软件：BIND

受影响软件版本：

BIND9.7.0 -> BIND 9.10.1-P1.此外，即将发布的BIND的维护版本的b1和rc1开发版本（9.9.7b1

& rc1,9.10.2b1 &rc1）也会受到影响。

虽然随着一个对zone.c的声明，BIND版本9.9.6，9.9.6-P1，9.10.1和9.10.1-P1将持续停用，但是之前受影响的版本仍可能会出现不可预知的问题，包括，由于受使用不正确初始化参数.re影响的服务器崩溃。

严重程度： 高危,但需满足特殊条件

可利用方式：远程，在限制的环境中

漏洞描述：配置实施DNSSEC验证同时使用管理密钥（管理密钥在使用“dnssec-validation auto”或“dnssec-lookaside auto”时会隐式出现）的BIND服务器，当受管理的信任锚点中满足下列所有条件时可能会因断言错误而终止：

l 之前受信任的密钥如今被标记为撤销;

l 没有其他的可用的信任密钥;

l 有备用密钥，但还未受信任

这种情况导致的命名进程的终止和对客户机的拒绝服务可能会在两种情况中出现：

l 不正确管理的密钥为一个受管理的信任锚点翻转期间(如，在一个拙劣的根密钥翻转期间)

或者

l 在特殊限制的情况下，受到攻击者故意触发，ISC为该攻击声明了概念验证;然而，这种攻击的复杂度非常高，除非攻击者与目标BIND服务器有着特殊的网络联系。

漏洞影响：

只有部署DNSSEC验证且使用管理密钥的服务器能受到该漏洞的影响。

递归验证解析器风险最高，但如果权威服务器部署了DNSSEC验证且使用管理密钥，那么它也可能受到攻击。

受攻击的服务器可能向所有的客户机发送声明并停止运行，引发拒绝服务。

漏洞利用：

目前没有出现。

解决方案：

为当前版本的BIND升级最新发布的补丁。下载地址： http://www.isc.org/downloads..

l BIND 9.9.6-P2

l BIND 9.10.1-P2

该问题也在BIND开发版本中进行了修订：

l BIND 9.9.7rc2

l BIND 9.10.2rc2