13.11. Avisos de Segurança do FreeBSD
Anterior | Capítulo 13. Segurança | Próxima

## 13.11. Avisos de Segurança do FreeBSD

Contribuído por Tom Rhodes.

Como muitos produtores de sistemas operacionais de qualidade, o Projeto FreeBSD tem uma equipe de segurança responsável por determinar a data de fim de vida (EoL) para cada versão do FreeBSD e para fornecer atualizações de segurança para versões suportadas que ainda não atingiram sua EoL. Mais informações sobre a equipe de segurança do FreeBSD e as versões suportadas estão disponíveis na página de segurança do FreeBSD.

Uma tarefa da equipe de segurança é responder às vulnerabilidades de segurança reportadas no sistema operacional FreeBSD. Quando uma vulnerabilidade é confirmada, a equipe de segurança verifica as etapas necessárias para corrigir a vulnerabilidade e atualiza o código-fonte com a correção. Em seguida, publica os detalhes como um “Aviso de Segurança”. Os avisos de segurança são publicados no site do FreeBSD e enviados para as listas de discussão freebsd-security-notifications, freebsd-security, e freebsd-announce.

Esta seção descreve o formato de um alerta de segurança do FreeBSD.

### 13.11.1. Formato de um Comunicado de Segurança

Aqui está um exemplo de um aviso de segurança do FreeBSD:

    =============================================================================
    -----BEGIN PGP SIGNED MESSAGE-----
    Hash: SHA512

    =============================================================================
    FreeBSD-SA-14:04.bind                                       Security Advisory
                                                              The FreeBSD Project

    Topic:          BIND remote denial of service vulnerability

    Category:       contrib
    Module:         bind
    Announced:      2014-01-14
    Credits:        ISC
    Affects:        FreeBSD 8.x and FreeBSD 9.x
    Corrected:      2014-01-14 19:38:37 UTC (stable/9, 9.2-STABLE)
                    2014-01-14 19:42:28 UTC (releng/9.2, 9.2-RELEASE-p3)
                    2014-01-14 19:42:28 UTC (releng/9.1, 9.1-RELEASE-p10)
                    2014-01-14 19:38:37 UTC (stable/8, 8.4-STABLE)
                    2014-01-14 19:42:28 UTC (releng/8.4, 8.4-RELEASE-p7)
                    2014-01-14 19:42:28 UTC (releng/8.3, 8.3-RELEASE-p14)
    CVE Name:       CVE-2014-0591

    For general information regarding FreeBSD Security Advisories,
    including descriptions of the fields above, security branches, and the
    following sections, please visit <URL:http://security.FreeBSD.org/>.

    I.   Background

    BIND 9 is an implementation of the Domain Name System (DNS) protocols.
    The named(8) daemon is an Internet Domain Name Server.

    II.  Problem Description

    Because of a defect in handling queries for NSEC3-signed zones, BIND can
    crash with an "INSIST" failure in name.c when processing queries possessing
    certain properties.  This issue only affects authoritative nameservers with
    at least one NSEC3-signed zone.  Recursive-only servers are not at risk.

    III. Impact

    An attacker who can send a specially crafted query could cause named(8)
    to crash, resulting in a denial of service.

    IV.  Workaround

    No workaround is available, but systems not running authoritative DNS service
    with at least one NSEC3-signed zone using named(8) are not vulnerable.

    V.   Solution

    Perform one of the following:

    1) Upgrade your vulnerable system to a supported FreeBSD stable or
    release / security branch (releng) dated after the correction date.

    2) To update your vulnerable system via a source code patch:

    The following patches have been verified to apply to the applicable
    FreeBSD release branches.

    a) Download the relevant patch from the location below, and verify the
    detached PGP signature using your PGP utility.

    [FreeBSD 8.3, 8.4, 9.1, 9.2-RELEASE and 8.4-STABLE]
    # fetch http://security.FreeBSD.org/patches/SA-14:04/bind-release.patch
    # fetch http://security.FreeBSD.org/patches/SA-14:04/bind-release.patch.asc
    # gpg --verify bind-release.patch.asc

    [FreeBSD 9.2-STABLE]
    # fetch http://security.FreeBSD.org/patches/SA-14:04/bind-stable-9.patch
    # fetch http://security.FreeBSD.org/patches/SA-14:04/bind-stable-9.patch.asc
    # gpg --verify bind-stable-9.patch.asc

    b) Execute the following commands as root:

    # cd /usr/src
    # patch < /path/to/patch

    Recompile the operating system using buildworld and installworld as
    described in <URL:https://www.FreeBSD.org/handbook/makeworld.html>.

    Restart the applicable daemons, or reboot the system.

    3) To update your vulnerable system via a binary patch:

    Systems running a RELEASE version of FreeBSD on the i386 or amd64
    platforms can be updated via the freebsd-update(8) utility:

    # freebsd-update fetch
    # freebsd-update install

    VI.  Correction details

    The following list contains the correction revision numbers for each
    affected branch.

    Branch/path                                                      Revision
    - -------------------------------------------------------------------------
    stable/8/                                                         r260646
    releng/8.3/                                                       r260647
    releng/8.4/                                                       r260647
    stable/9/                                                         r260646
    releng/9.1/                                                       r260647
    releng/9.2/                                                       r260647
    - -------------------------------------------------------------------------

    To see which files were modified by a particular revision, run the
    following command, replacing NNNNNN with the revision number, on a
    machine with Subversion installed:

    # svn diff -cNNNNNN --summarize svn://svn.freebsd.org/base

    Or visit the following URL, replacing NNNNNN with the revision number:

    <URL:https://svnweb.freebsd.org/base?view=revision&revision=NNNNNN>

    VII. References

    <URL:https://kb.isc.org/article/AA-01078>

    <URL:http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0591>

    The latest revision of this advisory is available at
    <URL:http://security.FreeBSD.org/advisories/FreeBSD-SA-14:04.bind.asc>
    -----BEGIN PGP SIGNATURE-----

    iQIcBAEBCgAGBQJS1ZTYAAoJEO1n7NZdz2rnOvQP/2/68/s9Cu35PmqNtSZVVxVG
    ZSQP5EGWx/lramNf9566iKxOrLRMq/h3XWcC4goVd+gZFrvITJSVOWSa7ntDQ7TO
    XcinfRZ/iyiJbs/Rg2wLHc/t5oVSyeouyccqODYFbOwOlk35JjOTMUG1YcX+Zasg
    ax8RV+7Zt1QSBkMlOz/myBLXUjlTZ3Xg2FXVsfFQW5/g2CjuHpRSFx1bVNX6ysoG
    9DT58EQcYxIS8WfkHRbbXKh9I1nSfZ7/Hky/kTafRdRMrjAgbqFgHkYTYsBZeav5
    fYWKGQRJulYfeZQ90yMTvlpF42DjCC3uJYamJnwDIu8OhS1WRBI8fQfr9DRzmRua
    OK3BK9hUiScDZOJB6OqeVzUTfe7MAA4/UwrDtTYQ+PqAenv1PK8DZqwXyxA9ThHb
    zKO3OwuKOVHJnKvpOcr+eNwo7jbnHlis0oBksj/mrq2P9m2ueF9gzCiq5Ri5Syag
    Wssb1HUoMGwqU0roS8+pRpNC8YgsWpsttvUWSZ8u6Vj/FLeHpiV3mYXPVMaKRhVm
    067BA2uj4Th1JKtGleox+Em0R7OFbCc/9aWC67wiqI6KRyit9pYiF3npph+7D5Eq
    7zPsUdDd+qc+UTiLp3liCRp5w6484wWdhZO6wRtmUgxGjNkxFoNnX8CitzF8AaqO
    UWWemqWuz3lAZuORQ9KX
    =OQzQ
    -----END PGP SIGNATURE-----

Todo comunicado de segurança usa o seguinte formato:

- Cada aviso de segurança é assinado pela chave PGP do Oficial de Segurança. A chave pública para o Oficial de Segurança pode ser verificada em Apêndice D, Chaves OpenPGP.

- O nome do alerta de segurança sempre começa com `FreeBSD-SA-` (para o FreeBSD Security Advisory), seguido pelo ano em formato de dois dígitos (`14:`), seguido pelo número de aviso para aquele ano (`04.`), seguido pelo nome do aplicativo ou subsistema afetado (`bind`). O comunicado mostrado aqui é o quarto comunicado de 2014 e afeta o BIND.

- O campo `Topic` resume a vulnerabilidade.

- O campo `Category` refere-se à parte afetada do sistema, que pode ser uma de `core`, `contrib`, ou `ports`. A categoria `core` significa que a vulnerabilidade afeta um componente principal do sistema operacional FreeBSD. A categoria `contrib` significa que a vulnerabilidade afeta um software incluído no FreeBSD, como o BIND. A categoria `ports` indica que a vulnerabilidade afeta um software disponível através da coleção de ports.

- O campo `Module` refere-se ao local do componente. Neste exemplo, o módulo `bind` é afetado; Portanto, essa vulnerabilidade afeta um aplicativo instalado com o sistema operacional.

- O campo `Announced` reflete a data em que o comunicado de segurança foi publicado. Isto significa que a equipe de segurança verificou que o problema existe e que um patch foi disponibilizado no repositório do código fonte do FreeBSD.

- O campo `Credits` dá crédito ao indivíduo ou organização que encontrou a vulnerabilidade e a relatou.

- O campo `Affects` explica quais versões do FreeBSD são afetadas por esta vulnerabilidade.

- O campo `Corrected` indica a data, a hora, o deslocamento do horário e as releases que foram corrigidas. A seção entre parênteses mostra cada branch para a qual a correção foi mesclada e o número de versão da liberação correspondente dessa branch. O próprio identificador de release inclui o número da versão e, se apropriado, o nível do patch. O nível de correção é a letra `p` seguida de um número, indicando o número de seqüência do patch, permitindo que os usuários controlem quais patches já foram aplicados ao sistema.

- O campo `CVE Name` lista o número de aviso, se existir, no banco de dados público cve.mitre.org de vulnerabilidades de segurança.

- O campo `Background` fornece uma descrição do módulo afetado.

- O campo `Problem Description` explica a vulnerabilidade. Isso pode incluir informações sobre o código defeituoso e como o utilitário pode ser usado de maneira mal-intencionada.

- O campo `Impact` descreve o tipo de impacto que o problema pode ter em um sistema.

- O campo `Workaround` indica se uma solução alternativa está disponível para os administradores do sistema que não podem corrigir imediatamente o sistema.

- O campo `Solution` fornece as instruções para corrigir o sistema afetado. Este é um método testado e verificado passo a passo para obter um sistema corrigido e funcionando com segurança.

- O campo `Correction Details` exibe cada branch do Subversion afetada com o número de revisão que contém o código corrigido.

- O campo `References` oferece fontes de informações adicionais sobre a vulnerabilidade.

Anterior | Acima | Próxima
13.10. Monitorando Problemas de Segurança de Terceiros | Principal | 13.12. Auditoria de Processo

All FreeBSD documents are available for download at https://download.freebsd.org/ftp/doc/

Questions that are not answered by the documentation may be sent to <freebsd-questions@FreeBSD.org>.
Send questions about this document to <freebsd-doc@FreeBSD.org>.