Уязвимост в DNS сървъра BIND, която не изключва дистанционно изпълнение на код

Публикувани са коригиращи актуализации на стабилните версии на DNS-сервера BIND 9.11.28 и 9.16.12, както и на експерименталната версия 9.17.10, която все още е в разработка. В новите издания е отстранена уязвимост (CVE-2020-8625), водеща до преливане на буфера и потенциално позволяваща отдалечено изпълнение на код от злоумышленици. Според информацията, все още не са открити работещи експлойти.

Проблемът е причинен от грешка в реализацията на механизма SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), използван в GSSAPI за договаряне на използваните от клиента и сървъра. методи за защита. GSSAPI се използва като високо ниво протокол за защитен обмен на ключове чрез разширението GSS-TSIG, което се използва в процеса на проверка на идентичността на динамичните актуализации на DNS-зоните.

Уязвимостта засяга системи, при които е активирано използването на GSS-TSIG (например, ако се използват настройки tkey-gssapi-keytab и tkey-gssapi-credential). GSS-TSIG обикновено се използва в смесени среди, в които BIND е съчетан с контролери домейн Active Directory или при интеграция с Samba. В конфигурацията по подразбиране GSS-TSIG е деактивиран.

Като обходен вариант на проблема, който не изисква деактивиране на GSS-TSIG, се предлага компилация на BIND без поддръжка на механизма SPNEGO, който може да бъде деактивиран чрез указване при стартиране на скрипта «configure» опция «—disable-isc-spnego». Проблемът все още не е поправен в дистрибутивите. Можете да следите за новини за актуализации на следните страници: Debian, RHEL, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD.

Източник: opennet.ru