Публикувани са коригиращи обновления на стабилните версии на DNS сървъра BIND 9.11.28 и 9.16.12, както и на експерименталната версия 9.17.10, която е в разработка. В новите издания е отстранена уязвимост (CVE-2020-8625), която води до препълване на буфера и потенциално би могла да доведе до отдалечено изпълнение на код от страна на нападателя. Няма открити доказателства за наличието на работещи експлойти.
Проблемът е предизвикан от грешка в реализацията на механизма SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), използван в GSSAPI за съгласуване на използваните от клиента и сървър GSSAPI се използва като високопроизводителен протокол за безопасен обмен на ключове с помощта на разширението GSS-TSIG, което се използва в процеса на удостоверяване на динамични актуализации на DNS зони.
Уязвимостта засяга системи, в които е активирано използването на GSS-TSIG (например, ако са конфигурирани опции tkey-gssapi-keytab и tkey-gssapi-credential). GSS-TSIG обикновено се използва в смесени среди, в които BIND се комбинира с контролери домейн Active Directory, или при интеграция със Samba. В конфигурацията по подразбиране GSS-TSIG е деактивиран.
Като обходен вариант за блокиране на проблема, който не изисква деактивиране на GSS-TSIG, се предлага компилиране на BIND без поддръжка на механизма SPNEGO, което може да се деактивира чрез указание на опцията "—disable-isc-spnego" при стартиране на скрипта "configure". Проблемът все още не е отстранен в дистрибуциите. Можете да проследите поява на обновления на следните страници: Debian, RHEL, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD.
Източник: opennet.ru
