Am 16. und 17. Februar 2016 haben Red Hat und Google eine kritische Sicherheitslücke in der glibc gemeldet. Wir haben eine interne Bewertung des Sachverhaltes anhand der zugänglichen Informationen durchgeführt und kommen zu folgendem Ergebnis:
- Die Sicherheitslücke lässt sich nur unter der Bedingung ausnutzen, dass der anzugreifende Host einen bereits kompromittierten, d.h. böswilligen DNS Server (Resolver) befragt und von diesem speziell präparierte Datenpakete als Antwort erhält.
- Auf der von managedhosting.de betriebenen Infrastruktur verwenden alle Hosts ausschließlich interne, von managedhosting.de selbst betriebene DNS-Resolver. Basierend auf der von Red Hat vorgenommenen Einschätzung kann also ausgeschlossen werden, dass auf diesen Weg die Sicherheitslücke von außen ausgenutzt werden kann.
- Der bei managedhosting.de zum Einsatz kommende PowerDNS ist laut Hersteller nicht oder nur schwer verwundbar. Sicherheitsupdates existieren bereits und sind installiert.
- Die von uns betriebenen DNS-Server und Resolver auf der Basis von CentOS 7.x sind per 18.02.2016 bereits mit den enstprechenden Updates versehen.
- Zusätzlich wurde die Größe der DNS Pakete nach dem Empfehlung von Red Hat per Firewall auf maximal 512Byte begrenzt.
- Kunden, welche in Eigenregie VMs auf unserer Self-Service IaaS Plattform betreiben, sollten prüfen ob diese VMs vertrauenswürde DNS- Resolver verwenden und zeitnah Updates durchführen.
Unserer Einschätzung nach, ist die Auswirkung dieser Sicherheitslücke im täglichen Einsatz auf der von managedhosting.de betriebenen Infrastruktur nicht kritisch. Unabhängig davon werden wir betroffene Komponenten entsprechend den vereinbarten SLAs mit Updates versehen, sobald diese von den Herstellern verfügbar sind.
Quellen und weiterführende Informationen:
