Актуализация на DNS сървър BIND с отстраняване на уязвимост, позволяваща отдалечено изпълнение на код

Публикувани са корективни актуализации на стабилните версии на DNS сървъра BIND 9.11.31 и 9.16.15, както и на експерименталната версия 9.17.12, която е в разработка. В новите издания са отстранени три уязвимости, една от които (CVE-2021-25216) води до преливане на буфера. В 32-битни системи уязвимостта може да бъде експлоатирана за отдалечено изпълнение на код от злоумисленици чрез изпращане на специално форматирано запитване GSS-TSIG. В 64-битни системи проблемът се ограничава до срив на процеса named.

Проблемът се проявява само при активиране на механизма GSS-TSIG, който се активира чрез настройките tkey-gssapi-keytab и tkey-gssapi-credential. GSS-TSIG е деактивиран в настройките по подразбиране и обикновено се използва в хибридни среди, при които BIND работи с контролери на домейни Active Directory или при интеграция с Samba.

Уязвимостта е причинена от грешка в реализацията на механизма SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), използван в GSSAPI за преговаряне на използваните от клиента. сървъра. методи за защита. GSSAPI се използва като високо ниво протокол за защитен обмен на ключове чрез разширението GSS-TSIG, което се използва в процеса на проверка на идентичността на динамичните актуализации на DNS-зоните.

Тъй като критични уязвимости в вградената реализация на SPNEGO са били открити и преди, реализацията на този протокол е премахната от кодовата база на BIND 9. За потребители, на които е необходима поддръжка на SPNEGO, се препоръчва да използват външна реализация, предоставена от системната библиотека GSSAPI (предоставя се в MIT Kerberos и Heimdal Kerberos).

Потребителите на стари версии на BIND могат като обходен вариант да деактивират GSS-TSIG в настройките (параметрите tkey-gssapi-keytab и tkey-gssapi-credential) или да компилират BIND без поддръжка на механизма SPNEGO (опция "—disable-isc-spnego" в скрипта "configure"). Могат да следят за появата на актуализации в дистрибуциите на страниците: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. Пакетите RHEL и ALT Linux се компилират без вградена поддръжка на SPNEGO.

Допълнително в разглежданите актуализации на BIND са отстранени още две уязвимости:

• CVE-2021-25215 — срив на процеса named при обработка на записи DNAME (пренасочване на обработката на част от поддомените), водещи до добавяне на дубликати в секцията ANSWER. За експлоатация на уязвимостта на авторитетни DNS сървъри се изискват промени в обработваните DNS зони, а за рекурсивните сървъри проблемната запись може да бъде получена след запитване към авторитетния сървър.
• CVE-2021-25214 — срив на процеса named при обработка на специално форматирано входящо запитване IXFR (използва се за инкрементално предаване между DNS сървъри на изменения в DNS зоните). На проблема са подложени само системи, които са разрешили предаване на DNS зони от атакуващия сървър (обикновено предаването на зони се използва за синхронизиране на master и slave сървъри и селективно се разрешава само за доверени сървъри). Като обходен път за защита, можете да деактивирате поддръжката на IXFR чрез настройката „request-ixfr no;”.

Източник: opennet.ru