7 bezpečnostních chyb v Dnsmasq

V serveru Dnsmasq (Wikipedie) bylo nalezeno a v upstream verzi 2.78 již opraveno 7 bezpečnostních chyb: CVE-2017-14491, CVE-2017-14492, CVE-2017-14493, CVE-2017-14494, CVE-2017-14495, CVE-2017-14496 a CVE-2017-13704. Tři z nich lze zneužít ke vzdálenému spuštění kódu (RCE), tři k odmítnutí služby (DoS) a jednu k úniku informací [reddit].

4.10.2017 07:00 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Petr Tomášek]

LOL. A pak všechny ty kecy o tom, jak je dnsmasq lepší než isc-dhcpd...

[mln]

epic fail

[xm]

Už by to vážně chtělo OS kde bude minimálně všechen userspace (když už ne i kernel) a klíčové programy/daemony napsané v memory-safe jazyce...

[Conscript89]

Nedival jsem se na ty CVE, takze nevim, jenom by me zajimalo jestli toto je pricinou vsech techto chyb, nebo jestli je to jen navrhovane "univerzalni reseni na vsechny problemy" vcetne shellshocku (ktery s praci s pameti nemel nic spolecneho).

[R]

Napriklad v Jave, ze? Ta je bezpecna...

[lertimir]

No vzhledem k tomun že je to hlavní DNS v openWRT, tak je důležité jak se to dostane do distra. Mimochodem, nevíte jak pokračuje sjednocení s LEDE?

[Conscript89]

Jejej, diky za info, ted uz vim, ze openWRT nechci teda vubec :/

[R]

Je to asi vo vsetkych malych routeroch, pretoze je to male a robi naraz DHCP aj DNS.

Samozrejme, v Openwrt sa da dnsmasq nahradit inymi balikmi, ak mas dost miesta.

[Conscript89]

Jo, to chapu, vim o tom. Mam plno duvodu proc jsem nechtel openwrt (toto je jen dalsi). Pro vysvetleni, muj router je x86_64 system s centos7 (ISC dhcp + bind).

[R]

No ja mam router na Debiane, ale CPU je i586, takze Debian 9 tam uz nedam...

[Bedňa]

Centoos7 :D :D :D jupííííí

[marek_hb]

Jaka je sance ze flash na wdr3600 z posledniho openwrt na nove lede probehne bez vytvoreni cihlicky?

[GEDIK]

Ja myslim ze snad mala. Ale cihla se da opravit pres jtag.

[Jendа]

Stoprocentní, protože neflashuješ bootloader. I když firmware přepíšeš třeba náhodnými daty, stále není problém v ubootu stáhnout nový a spustit ho nebo ho zapsat do flashky.

[Bedňa]

Presne, rovnako sa ľudia boja flashnúť telefóny, ja som ich, flashol no proste moc. Aj bootloader, ale to býva v tak sekunde, dvoch a je malá šanca že sa niečo posere, navrch majú samozrejme tie kde sa bootloader riešiť nemusí.

[Conscript89]

Mozna kdyby se nepouzival nespravne termin "flashnout", tak by se lidi nebali :)

[Conscript89]

Ah, sakra, spatne jsem precetl. Ignorujte muj comment.

[frr]

Nemám čas ty chyby všecky číst... z těch "remote code execution", kolik se jich dá zneužít k útoku zvenčí, tzn. ze strany "WAN", pokud je router správně nakonfigurovaný, tzn. pokud na vnějším rozhraní dnsmasq nenaslouchá dotazům DNS ani DHCP? Mmm... na druhou stranu, ono jde k útoku na router využít i napadené widle ve vnitřní síti...

[Vladimír Čunát]

Hmm, přitom před rokem prošel dnsmasq auditem, ale možná nekontrolovali všechno, nebo to stihl někdo od té doby rozbít...