Named extreme CPU 46%

[bayliner]

Named konsumiert bei mir momentan seit einigen stunden 46% CPU und der ganze server hängt.

Im Logfile finde ich folgendes vor:

Jul 31 16:12:44 server named[43189]: client 202.116.130.238#11810: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 202.117.142.130#40094: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 203.196.60.228#21498: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 202.113.118.90#13878: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 202.96.59.173#22285: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 210.34.55.209#44695: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 203.196.113.71#64757: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 61.128.208.176#48080: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 116.113.176.208#53680: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 211.99.208.176#47056: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 202.196.215.49#14988: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 211.136.199.193#49191: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 202.102.177.7#12625: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 60.215.161.151#15562: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 210.52.237.235#47925: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 123.129.167.225#10759: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 202.195.97.215#5842: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 210.27.247.17#17552: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 124.227.167.225#54535: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 210.33.77.139#60207: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 123.129.167.225#10759: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 221.7.113.71#58954: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 210.77.113.71#34833: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 202.96.75.29#49153: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 124.65.135.1#53440: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 211.66.155.77#3519: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 202.99.55.209#55672: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 219.243.11.93#20407: error sending response: host unreachable
Jul 31 16:12:44 server named[43189]: client 222.246.253.91#18775: error sending response: host unreachable
Jul 31 16:12:44 server rsyslogd-2177: imuxsock begins to drop messages from pid 43189 due to rate-limiting

Was tut sich da?!? Warum hängt das alles...

 

[GwenDragon]

Das ist ein DoS-Angriff auf Named (Bind 9).
https://kb.isc.org/article/AA-01015
https://kb.isc.org/article/AA-01016

Welche Version von Bind verwendst du denn?

 

[GwenDragon]

Wenn die alle aus China kommen, sperr die doch einfach per IPtables. Oder muss dein Server aus China erreichbar sein?

 

[bayliner]

Hab ich schon das sind soviele das das nix bringt Meine kiste ist nun total ausgefallen geht garnichts mehr. Ich komme nicht mal mehr per SSH darauf. alles tot.

 

[GwenDragon]

Das Problem sind ja die kaputten Anfragen, nicht die Anzahl, welche named zum hängen bringen.

Kannst du Bind9 auf 9.8.5-P2 oder 9.9.3-P2 updaten ?

 

[bayliner]

Derzeit nicht ich komme nicht auf den server per http oder ssh und nicht einmal über KVMoIP kann ich darauf zugreifen.

 

[Jesaja]

Gibts sowas wie nen Hardwarereset bei deinem Anbieter?
Reset, dann ins Rescue, da den BIND ausm Autostart/Runlevel nehmen, dein normales Linux booten, da dann BIND updaten und wieder aktivieren.

edit: Hier der Link zur Fehlerbeschreibung und Update bei Ubuntu.

 

[cosimo.de]

Debian hat für die 9.7er Version in Squeeze auch einen Patch bereitgestellt.

https://security-tracker.debian.org/tracker/CVE-2013-4854

 

[GwenDragon]

Ist das squeeze-backports 9.8.4.dfsg.P1-6+nmu2~bpo60+1 auch das gefixte? Sehe gerade, die ist zu alt, am 2. Mai erstellt.

 

[Joe User]

Warum ist der named überhaupt für world erreichbar und nicht nur lokal?
https://www.us-cert.gov/ncas/alerts/TA13-088A beachtet?