В BIND 9 устранили опасные, удаленно эксплуатируемые DoS-уявимости

В BIND 9 устранили опасные, удаленно эксплуатируемые DoS-уявимости

В BIND 9 устранили опасные, удаленно эксплуатируемые DoS-уявимости

Консорциум разработчиков программного обеспечения для интернет-систем (Internet Systems Consortium, ISC) выпустил обновления с патчами для DNS-серверов BIND 9. Совокупно закрыто четыре уязвимости, позволяющие удаленно вызвать состояние отказа в обслуживании (DoS).

Новые проблемы, выявленные в софте с открытым исходным кодом, привязаны к сервису named, который может работать как авторитетный (первичный) сервер имен для группы зон или как рекурсивный резолвер для клиентов в локальной сети. Во всех случаях степень опасности угрозы оценена в 7,5 балла по шкале CVSS.

Список устраненных уязвимостей:

  • CVE-2022-3094 — солидный поток сообщений UPDATE способен истощить память на сервере и вызвать крах демона;
  • CVE-2022-3736 — аварийное завершение процесса named при обработке запросов RRSIG, если включена опция stale-answer-client-timeout;
  • CVE-2022-3924 — крах демона при превышении лимита на число клиентов в очереди, если используются опции stale-answer-enable yes и stale-answer-client-timeout;
  • CVE-2022-3488 — аварийное завершение named при обработке двойных ответов DNS-сервера, если оба отосланы с использованием опции CLIENT-SUBNET и первый ответ некорректен (актуальна только для BIND Supported Preview Edition).

Первые три уязвимости содержатся в BIND сборок с 9.16.0 по 9.16.36, с 9.18.0 по 9.18.10, с 9.19.0 по 9.19.8 и с 9.16.8-S1 по 9.16.36-S1. Патчи включены в состав обновлений 9.16.37, 9.18.11, 9.19.9 и 9.16.37-S1.

Данных об использовании какой-либо новой дыры в реальных атаках пока нет, но обновления рекомендуется установить в кратчайшие сроки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Минобороны снизило сроки уведомлений об увольнении сотрудников ИТ-компаний

Новое правительственное постановление сокращает срок, отведённый аккредитованным ИТ-компаниям для уведомления военкоматов об увольнении сотрудников, имеющих право на отсрочку от призыва, с двух недель до пяти дней.

Проект документа опубликован на портале проектов нормативных правовых актов. Он разработан в качестве подзаконного акта к новому закону о круглогодичном призыве, принятому ранее.

Согласно проекту, работа военкоматов больше не будет привязана к традиционным весенним и осенним кампаниям — призыв будет проходить в течение всего года. При этом отправка призывников в войска сохранится по прежней схеме.

Отсрочка от призыва для сотрудников аккредитованных ИТ-компаний включена в перечень мер господдержки отрасли, утверждённый в марте 2022 года. В него также вошли льготная ипотека, упрощённые процедуры найма иностранных специалистов, налоговые послабления и сниженные процентные ставки по кредитам.

Правом на отсрочку могут воспользоваться специалисты с профильным высшим образованием и соответствующей специальностью из утверждённого перечня. По данным Минцифры, этой мерой уже воспользовались более 8 тысяч человек.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru