Debian DSA-6626-1 cập nhật c-ares để khắc phục bốn lỗ hổng bảo mật

Debian công bố DSA-6626-1 cho c-ares, thư viện phân giải DNS bất đồng bộ, để khắc phục bốn lỗ hổng bảo mật. Xem bản tin bảo mật Debian để biết thông tin nguồn.

Tổng quan và thông tin kỹ thuật

Phạm vi ảnh hưởng

Cơ chế và tác động

Các lỗi được nêu gồm use-after-free, double-free, tràn bộ đệm và tiêu thụ tài nguyên quá mức khi xử lý thông điệp DNS. Hồ sơ cũng mô tả việc chấp nhận phản hồi từ máy chủ DNS không mong đợi, tái sử dụng câu trả lời lưu trong bộ nhớ đệm dù tùy chọn EDNS khác nhau, và xử lý bộ nhớ chưa khởi tạo đối với một số địa chỉ IPv6.

Tùy cách sử dụng thư viện, các lỗi có thể dẫn đến từ chối dịch vụ, giả mạo DNS hoặc lộ thông tin.

Kiểm tra hệ thống

1. Kiểm tra phiên bản gói c-ares đã cài:

   Sao chép lệnh

   dpkg-query -W -f='${Version}\n' c-ares

2. Xem thông tin chính sách và phiên bản gói:

   Sao chép lệnh

   apt-cache policy c-ares

3. So sánh phiên bản đang cài với phiên bản đã vá được nêu cho trixie-security:

   Sao chép lệnh

   dpkg --compare-versions "$(dpkg-query -W -f='${Version}' c-ares)" lt 1.34.9-1~deb13u1

   Phiên bản thấp hơn 1.34.9-1~deb13u1 cần được cập nhật.

Khắc phục và giảm thiểu

1. Trên Debian 13 (trixie) có phiên bản c-ares bị ảnh hưởng, cập nhật gói từ kho trixie-security lên 1.34.9-1~deb13u1.

Nguồn tham khảo

• Debian Security Advisory DSA-6626-1