CVE-2019-25032

Integer overflow w alokatorze regionalnym Unbound DNS (przed wersją 1.9.5)

CVSS 9.8v3.1pub. 2021-04-27upd. 2024-11-21

W serwerze DNS Unbound przed wersją 1.9.5 wykryto przepełnienie liczby całkowitej (integer overflow) w funkcji regional_alloc alokatora regionalnego. Podatność otrzymała krytyczny wynik CVSS 9.8, jednak sam producent (NLnet Labs) kwestionuje jej praktyczną exploitowalność.

▸ Pokaż oryginał (EN)

Unbound before 1.9.5 allows an integer overflow in the regional allocator via regional_alloc. NOTE: The vendor disputes that this is a vulnerability. Although the code may be vulnerable, a running Unbound installation cannot be remotely or locally exploited

🤖 Analiza AI

Jak działa

Błąd typu CWE-190 (integer overflow) występuje w module alokatora regionalnego podczas wywołania funkcji regional_alloc. Przepełnienie wartości całkowitej może prowadzić do nieprawidłowej alokacji pamięci. Producent zaznacza jednak w opisie CVE, że pomimo istnienia podatnego kodu, działająca instalacja Unbound nie może zostać wykorzystana zdalnie ani lokalnie.

Skutki

Teoretycznie udane wykorzystanie podatności mogłoby umożliwić atakującemu uzyskanie pełnej kontroli nad systemem (poufność, integralność i dostępność ocenione jako HIGH w wektorze CVSS). W praktyce, zgodnie z zastrzeżeniem producenta, realne wykorzystanie podatności nie zostało potwierdzone.

Mitygacja

Należy zaktualizować Unbound do wersji 1.9.5 lub nowszej. Użytkownicy Debian Linux powinni zastosować patche dostępne w ramach debian-lts-announce (maj 2021) zgodnie z referencjami producenta.

Kogo dotyczy

Nlnetlabs Unbound w wersjach przed 1.9.5 oraz systemy Debian Linux korzystające z podatnych pakietów Unbound.

Uwagi

Producent NLnet Labs formalnie kwestionuje klasyfikację tej luki jako podatności — według vendora działająca instalacja Unbound nie może zostać zdalnie ani lokalnie wykorzystana, mimo że kod zawiera błąd. Podatność została zidentyfikowana w ramach audytu bezpieczeństwa Unbound przeprowadzonego przez firmę X41 D-Sec (informacja zawarta w referencjach).