Le Thu, Jul 10, 2008 at 11:57:54AM +0200, Nicolas Haller [EMAIL PROTECTED] a écrit: > > ==> Attention ! Vous semblez parler des serveurs récursifs de la > > protection des serveurs récursifs "non ouverts" vs "ouverts". D'après > > http://www.kb.cert.org/vuls/id/800113 cette faille touche les serveurs > > OUVERTS et NON OUVERTS, même si la difficulté de l'attaque n'est pas > > forcément la même (un paragraphe subtile à la section "II Solution ; > > "Restrict Access" explique l'intérêt à être prudent). > > Pour attaquer le bind par ce trou, il faut attaquer le bind non? S'il > n'est pas possible d'y faire des requêtes, c'est fini, non?
N'importe quel resolveur (bind, local(=libc), ...) est potentiellement vulnérable. Il suffit de pouvoir lui envoyer une réponse (forgée), acceptable (ie ip/port src, ip/port dst corrects). Une des « protections » que la kyrielle de patchs sortis apporte, c'est de randomiser le port source des questions, de façon à compliquer la vie de celui qui veut forger des réponses. Une autre « protection », c'est d'avoir suffisament de protections antispoofing dans son réseau. Parceque sinon, même en utilisant un résolveur récursif proche (ie du LAN), une réponse forgée peut tout de même être envoyée directement au client. -- Dominique Rousseau Neuronnexion, Prestataire Internet & Intranet 57, rue de Paris 80000 Amiens tel: 03 22 71 61 90 - fax: 03 22 71 61 99 - http://www.neuronnexion.coop --------------------------- Liste de diffusion du FRnOG http://www.frnog.org/
