Vulnerabilidad en BIND (CVE-2018-5741)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

16/01/2019

Última modificación:

20/10/2020

Descripción

Para proporcionar controles detallados sobre la capacidad de emplear DNS dinámico (DDNS) para actualizar registros en una zona, BIND 9 proporciona una característica llamada update-policy. Pueden configurarse varias reglas para limitar los tipos de subidas que pueden ser realizadas por un cliente, dependiendo de la clave empleada al enviar la petición de actualización. Desgraciadamente, algunos tipos de reglas no se documentaron inicialmente y, cuando su documentación se añadió al manual de referencia de administrador (ARM) en el cambio #3112, el texto que se añadió al ARM en ese momento describía el comportamiento de dos tipos de regla, krb5-subdomain y ms-subdomain. Esta documentación incorrecta podría hacer que los operadores piensen que las políticas que han configurado son más restrictivas de lo que lo son en realidad. Esto afecta a BIND en versiones anteriores a la 9.11.5 y BIND 9.12.3.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:L/Au:S/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.00 MEDIA
Vector: AV:N/AC:L/Au:S/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno