Německá společnost X41 D-Sec provedla bezpečnostní audit zdrojového kódu DNS serveru BIND 9. K dispozici je téměř stostránková zpráva ve formátu PDF. Zdrojový kód zkontrolovali bezpečnostní experti Eric Sesterhenn a Markus Vervier s využitím manuální kontroly kódu, nástrojů pro analýzu kódu a vlastního fuzzingu. Zaměřili se na základní komponenty napsané v jazyce C běžící na 64bitovém Linuxu.
Při auditu kódu byly objeveny dva středně závažné a šest málo závažných bezpečnostních problémů. Nejzávažnější objevená chyba umožňuje útočníkovi v některých nastaveních shodit server odesláním chybně formátovaných dat, která při zpracování vyčerpají dostupnou paměť zásobníku. Chyba dostala označení CVE-2023–3341 a je již opravena.
Auditoři chválí kvalitu zkoumaného zdrojového kódu, která je podle nich ve srovnání s projekty podobné velikosti vysoce nadprůměrná. Přestože byly během tohoto auditu nalezeny zranitelnosti, kód může sloužit jako příklad, jak vyvíjet v jazyce C s ohledem na bezpečnost.
Správné postupy při práci s pamětí jsou podle nich hlavním faktorem, který přispěl k eliminaci nebo alespoň snížení výskytu některých typů chyb.
ČLÁNKY DO MAILU