BIND 9: 19 млн серверов — но не все уязвимы

Смотрел, что нового у вендоров, и увидел: ISC выпустила патчи для BIND 9 — четырёх уязвимостей, включая критическую, связанную с обработкой подписанных сообщений. Один из них — уязвимость, позволяющая удалённо выполнить код, если сервер использует GSS-TSIG для динамических обновлений. Вторая — отказ в работе при определённых настройках DNS-зон. Третья — сильное потребление ресурсов при получении вредоносного DNS-сообщения. Источник утверждает, что ни одна из них пока не используется в атаках, но риски реальные — особенно для серверов с устаревшими версиями.

Считаю, что главный риск — не в количестве серверов с fingerprint'ом BIND, а в том, что 19 миллионов — это не число уязвимых, а число видимых. Многие из них — не публичные резолверы, а внутренние, за балансировщиками, с отключённым GSS-TSIG. Значит, даже если сервер в списке, он может быть безопасен. Главное — не паниковать по цифре, а смотреть на конфигурацию. Особенно на то, где включён GSS-TSIG и где настроены RPZ-зоны с разными параметрами.

На мой взгляд, самое важное — не патч, а переход с ветки 9.18. Она не получила исправления. Значит, для тех, кто на ней, это не просто обновление — это миграция. И это не вопрос «когда», а «как». Я уже начал проверять, кто у меня на старых версиях, и поставил в план на неделю — проверить конфиги, сделать резервные копии и подготовить обновление. Пока не тороплюсь, но не жду, пока кто-то начнёт атаковать.