Byly zveřejněny opravné aktualizace stabilních větví DNS serveru BIND 9.11.28 a 9.16.12, stejně jako ve vývoji experimentální větve 9.17.10. V nových vydáních byla odstraněna zranitelnost (CVE-2020-8625), která vede k přetečení vyrovnávací paměti a potenciálně může vést k vzdálenému vykonání kódu útočníkem. Zatím nebyly nalezeny žádné stopy pracovních exploitů.
Problém je způsoben chybou v implementaci mechanismu SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), používaného v GSSAPI pro ujednání metod používaných klientem a serverem ochranných metod. GSSAPI se používá jako vysoce úrovňový protokol pro zabezpečenou výměnu klíčů pomocí rozšíření GSS-TSIG, které se používá během ověřování dynamických aktualizací DNS zón.
Zranitelnost se týká systémů, v jejichž nastavení je povoleno používání GSS-TSIG (například pokud se používají nastavení tkey-gssapi-keytab a tkey-gssapi-credential). GSS-TSIG se obvykle používá v smíšených prostředích, kde se BIND kombinuje s ovladači domény Active Directory, nebo při integraci se Samba. Ve výchozí konfiguraci je GSS-TSIG vypnutý.
Jako obcházení problému, které nevyžaduje vypnutí GSS-TSIG, se naznačuje sestavení BIND bez podpory mechanizmu SPNEGO, které lze deaktivovat pomocí volby „—disable-isc-spnego“ při spuštění skriptu „configure“. V distribucích zůstává problém zatím neopravený. Aktualizace lze sledovat na následujících stránkách: Debian, RHEL, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD.
Zdroj: opennet.ru
