Vulnerabilidad en la funcionalidad managed-keys en BIND y BIND 9 Supported Preview Edition (CVE-2018-5745)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-327
Uso de algoritmo criptográfico vulnerable o inseguro
Fecha de publicación:
09/10/2019
Última modificación:
06/11/2019
Descripción
"managed-keys" es una característica que permite a un solucionador BIND mantener automáticamente las claves usadas por los anclajes de confianza que los operadores configuran para su uso en la comprobación de DNSSEC. Debido a un error en la funcionalidad managed-keys, es posible que un servidor BIND que utiliza managed-keys salga debido a un error de aserción si, durante la renovación de claves, las claves de un ancla de confianza son reemplazadas por claves que utilizan un algoritmo no compatible. Versiones afectadas: BIND 9.9.0 hasta 9.10.8-P1, 9.11.0 hasta 9.11.5-P1, 9.12.0 hasta 9.12.3-P1 y versiones 9.9.3-S1 hasta 9.11.5- S3 de BIND 9 Supported Preview Edition. Las versiones 9.13.0 hasta 9.13.6 de la rama de desarrollo 9.13 también están afectadas. Las versiones anteriores a BIND 9.9.0 no han sido evaluadas para la vulnerabilidad de CVE-2018-5745.
Impacto
Puntuación base 3.x
4.90
Gravedad 3.x
MEDIA
Puntuación base 2.0
3.50
Gravedad 2.0
BAJA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:isc:bind:*:*:*:*:*:*:*:* | 9.9.0 (incluyendo) | 9.10.7 (incluyendo) |
cpe:2.3:a:isc:bind:*:*:*:*:*:*:*:* | 9.11.0 (incluyendo) | 9.11.4 (incluyendo) |
cpe:2.3:a:isc:bind:*:*:*:*:*:*:*:* | 9.12.0 (incluyendo) | 9.12.2 (incluyendo) |
cpe:2.3:a:isc:bind:*:*:*:*:*:*:*:* | 9.13.0 (incluyendo) | 9.13.6 (incluyendo) |
cpe:2.3:a:isc:bind:9.9.3:s1:*:*:*:supported_preview:*:* | ||
cpe:2.3:a:isc:bind:9.10.7:-:*:*:*:*:*:* | ||
cpe:2.3:a:isc:bind:9.10.8:p1:*:*:*:*:*:* | ||
cpe:2.3:a:isc:bind:9.11.5:-:*:*:*:*:*:* | ||
cpe:2.3:a:isc:bind:9.11.5:p1:*:*:*:*:*:* | ||
cpe:2.3:a:isc:bind:9.11.5:s3:*:*:*:supported_preview:*:* | ||
cpe:2.3:a:isc:bind:9.12.3:-:*:*:*:*:*:* | ||
cpe:2.3:a:isc:bind:9.12.3:p1:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página