Newsgroup: it.comp.sicurezza.varie
Titolo: BIND in Crash (vulnerabilità?)

Dove lavoro abbiamo una macchina spare R.H. (dietro firewall) con installato
un bind (vecchio pultroppo)  e che risponde su internet
(9.1.3)
L'altro giorno abbiamo dovuto metterla in piedi di fretta e furia  per
sostituire un altro server,
ma subito stanotte è crashato il BIND
Dal Log le ultime 3 linee relative al BIND
Feb 23 21:30:00 DXX005 named[31389]: client 151.99.25*.***#60805: query
denied
Feb 23 21:30:00 DXX005 named[31389]: message.c:782: REQUIRE(*rdataset ==
((void *)0)) failed
Feb 23 21:30:00 DXX005 named[31389]: exiting (due to assertion failure)
A chi è capitato di vedere questo errore?
Facendo una ricerca su groups di google viene da pensare il legame a qualche
vulnerabilità nota visto che dai bolletitni del CERT le versioni prior 9.2.1
dovrebbero essere tutte vulnerabili
Qualcuno sa questo tipo di errore se può essere correlato a qualche vuln
specifica? Ho cercato ma per ora non trovo nulla di correlabile.
Giorni or sono, ricordo proprio su questo NG un  thread dove si ventilava un
nuovo possibile Advisory su Bind;
Visto che cercando su internet info sul tipo di errore ho visto solamente
thread con date molto recenti
(max 60 giorni)
mi chiedevo se: non è che questo errore possa essere invece legato a chi
cerca di sfruttare la nuova vuln?
Domani indagheremo più a fondo, eventualmente se scopriamo l'intrusione
sulla macchina reinstalliamo da zero.
Un grazie a chi mi sa dare qualche idea
Ciao!

--
ragazza Rumena
27enne, volenterosa bella presenza,
documenti in regola, cerca lavoro
come cameriera, baby sitter, segretaria
o qualsiasi altro tipo di lavoro.
tel 333 9738793
---

 ragazza Rumena
Va bene che c'e varie, nel nome del gruppo, ma insomma ... :-)
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 against bind9 boxes....
Stò dando un occhiata al paper sul dns..
La macchina in questione è stata patchata alla 9.2.1 dopo aver
preventivamente tolto tutto quanto relativo
all'utente con cui girava il "bind"
Riceviamo ancora un pò di traffico rompi,
l'unica cosa che mi fa star ancora sospetto, è che attivando la feature di
udp protocol enforcement
dell'IPS atto a filtrare il traffico(Smart Defense) da e verso la macchina
in questione
vengono droppate come malformed parecchie query partenti dal Bind appena
installato...
Boh....spero falsi positivi... di default tale feature è disattiva...devo
indagare..
Ciao e Grazie x la risposta

niente male.
Piů che altro attivando oggi quella feature abbiamo visto la cpu e la
memoria che salgono alle stelle, query dig lecite fatte manualmente
dall'interno bloccate...insomma non č un gran chč
(una cosa che invece sembra funzionar bene per ora č l'ispezione http quando
si tratta di beccare programmi p2p che cercano di fare tunneling http)
Ciao

 Bind appena installato...
Guarda cosa contengono e quante sono: potrebbero essere delle
query multiple di cui FW-1 prende per buona solo la prima (e'
una di quelle cose che ti vengono in mente appena arrivato in
ufficio, prima di prendere il caffe').
Fabio

 query multiple di cui FW-1 prende per buona solo la prima
Per ora la feature è disattivata (tranne un test di una mezzoretta a
pranzo), in effetti
parecchie query sono multiple, ma vengono anche
droppate query singole di risoluzione url
effettuate dal bind on board sul proxy  atto alla navigazione internet degli
utenti interni...
L'errore è poco esemplificativo domani cerco sui vari KB se è qualcosa di
noto,
"
Attack Info: Badly formed DNS; session_id: XXXXX; dns_query: 
ilfoglio.it
;
dns_type: A
"
Ciao!

 pranzo), in effetti parecchie query sono multiple, ma vengono anche
<snip>
Com'è configurato BIND ? Ossia ... hai impostato l'opzione
"query-source-port"
nel file di config o no ? Inoltre (anche se non correlato al problema FW-1)
hai
compilato il pgm con o senza l'abilitazione del multithreading ? Nel secondo
caso ti consiglio di ricompilare _senza_ multithreading altrimenti potresti
avere
ulteriori problemi di crash ..o peggio.. a causa di un'altro baco del codice
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
Support and discussions forum
http://ntcanuck.com/net/board
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 caso ti consiglio di ricompilare _senza_ multithreading
E' la versione Patchata di un rpm Redhat, dovrebbe essere non multitrhead
suppongo.
Guardo e ti dico.
Grazie e Ciao!

 multitrhead suppongo. Guardo e ti dico.
Si ... meglio controllare, il problema è che con il multithread attivato
BIND 9 (fino alla 9.3.x) se riceve un certo tipo di queries si blocca e
oltre a non rispondere più ti spara la CPU al 100% per un problema
di deadlock ... capisco che senza multithread le performance non
saranno al massimo ma ... purtroppo nonostante le segnalazioni a
CERT (con relativa assegnazione di VU# e comunicazione ad ISC)
quelli di ISC non hanno ancora patchato il pgm ... per cui l'unica resta
quella (per il momento) di disattivare il multithreading o ... di installare
BIND8 (che ha altri problemi) o djbdns (che non è del tutto compatibile)
