Byly zveřejněny opravné aktualizace stabilních větví DNS serveru BIND 9.11.31 a 9.16.15, stejně jako experimentální vývojová větev 9.17.12. V nových verzích byly odstraněny tři zranitelnosti, z nichž jedna (CVE-2021-25216) způsobuje přetečení zásobníku. Na 32bitových systémech může být zranitelnost využita k vzdálenému spuštění kódu útočníka pomocí odeslání speciálně vytvořené žádosti GSS-TSIG. Na 64bitových systémech je problém omezen na pád procesu named.
Problém se projevuje pouze při zapnutí mechanismu GSS-TSIG, aktivovaného pomocí nastavení tkey-gssapi-keytab a tkey-gssapi-credential. GSS-TSIG je ve výchozí konfiguraci vypnut a obvykle se používá ve smíšených prostředích, kde se BIND kombinuje s ovladači domény Active Directory, nebo při integraci se Sambu.
Zranitelnost je způsobena chybou v implementaci mechanismu SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), používaného v GSSAPI pro vyjednávání používaných klientem a serverem. serverem ochranných metod. GSSAPI se používá jako vysoce úrovňový protokol pro zabezpečenou výměnu klíčů pomocí rozšíření GSS-TSIG, které se používá během ověřování dynamických aktualizací DNS zón.
Jelikož byly dříve nalezeny kritické zranitelnosti ve vestavěné implementaci SPNEGO, byla implementace tohoto protokolu odstraněna z kódu BIND 9. Pro uživatele, kteří potřebují podporu SPNEGO, se doporučuje použít externí implementaci poskytovanou systémovou knihovnou GSSAPI (poskytovanou v MIT Kerberos a Heimdal Kerberos).
Uživatelé starších verzí BIND mohou jako obchvat k blokování problému vypnout GSS-TSIG v nastaveních (parametry tkey-gssapi-keytab a tkey-gssapi-credential) nebo přebudovat BIND bez podpory mechanismu SPNEGO (volba „—disable-isc-spnego“ ve skriptu „configure“). O aktualizacích v distribucích lze sledovat na stránkách: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. Balíčky RHEL a ALT Linux jsou sestaveny bez vestavěné podpory SPNEGO.
Dále v posuzovaných aktualizacích BIND byly odstraněny další dvě zranitelnosti:
- CVE-2021-25215 — pád procesu named při zpracování DNAME záznamů (přesměrování zpracování části subdomén), které vedou k přidání duplicit do sekce ANSWER. K využití zranitelnosti na autoritativních DNS serverech jsou potřeba změny ve zpracovávaných DNS zónách, a pro rekurzivní servery problematičtý záznam lze získat po dotazu na autoritativní server.
- CVE-2021-25214 — pád procesu named při zpracování speciálně formátované příchozí žádosti IXFR (používá se pro inkrementální přenos změn v zónách DNS mezi DNS servery). Problém se týká pouze systémů, které povolily přenos zón DNS ze serveru útočníka (obvykle se přenos zón používá pro synchronizaci master- a slave-serverů a vybraně se povoluje pouze důvěryhodným serverům). Jako obranou možností lze deaktivovat podporu IXFR pomocí nastavení „request-ixfr no;“.
Zdroj: opennet.ru
