Актуализация на DNS сървъра BIND с отстраняване на уязвимост, позволяваща отдалечено изпълнение на код

Публикувани са коригиращи актуализации на стабилните версии на DNS сървъра BIND 9.11.31 и 9.16.15, както и на експерименталната версия 9.17.12, която е в разработка. В новите версии са отстранени три уязвимости, едната от които (CVE-2021-25216) води до препълване на буфера. На 32-битови системи уязвимостта може да бъде експлоатирана за отдалечено изпълнение на код от злонамерен потребител чрез изпращане на специално форматиран GSS-TSIG заявка. На 64-битови системи проблемът е ограничен до срив на процеса named.

Проблемът се проявява само при активиране на механизма GSS-TSIG, който се активира с помощта на настройките tkey-gssapi-keytab и tkey-gssapi-credential. GSS-TSIG е деактивиран в конфигурацията по подразбиране и обикновено се използва в смесени среди, в които BIND се комбинира с контролери на домейни Active Directory или при интеграция с Samba.

Уязвимостта е причинена от грешка в имплементацията на механизма SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), който се прилага в GSSAPI за преговори относно използваните от клиента методи за защита. сървър GSSAPI се използва като високопроизводителен протокол за безопасен обмен на ключове с помощта на разширението GSS-TSIG, което се използва в процеса на удостоверяване на динамични актуализации на DNS зони.

Тъй като критичните уязвимости в интегрираната имплементация на SPNEGO бяха откривани и преди, имплементацията на този протокол е премахната от кодовата база на BIND 9. За потребителите, на които е необходима поддръжка на SPNEGO, се препоръчва да използват външна имплементация, предоставена от системната библиотека GSSAPI (предоставя се в MIT Kerberos и Heimdal Kerberos).

Потребителите на стари версии на BIND могат да блокират проблема, като деактивират GSS-TSIG в настройките (параметри tkey-gssapi-keytab и tkey-gssapi-credential) или да компилират BIND без поддръжка на механизма SPNEGO (опция "--disable-isc-spnego" в скрипта "configure"). Могат да следят за актуализации в дистрибутивите на страниците: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. Пакетите на RHEL и ALT Linux се компилират без вградена поддръжка на SPNEGO.

Допълнително, в разглежданите актуализации на BIND са отстранени още две уязвимости:

• CVE-2021-25215 — срив на процеса named при обработка на записи DNAME (пренасочване на обработката на част от поддомените), водещи до добавяне на дубликати в секция ANSWER. За експлоатирането на уязвимостта на авторитетни DNS сървъри е необходимо извършването на промени в обработваните DNS зони, а за рекурсивните сървъри проблемната запис може да бъде получен след запитване до авторитетен сървър.
• CVE-2021-25214 — срив на процеса named при обработка на специално оформено входящо запитване IXFR (използва се за инкрементално предаване между DNS сървъри на промени в зоните DNS). Проблемът засяга само системи, които са разрешили предаване на DNS зони от сървъра на атакуващия (обикновено предаването на зони се използва за синхронизация между master и slave сървъри и се разрешава селективно само за доверени сървъри). Заобиколно решение на защитата е да се деактивира поддръжката на IXFR с настройка „request-ixfr no;“.

Източник: opennet.ru