Korrigerende opdateringer til de stabile versioner af DNS-serveren BIND 9.11.28 og 9.16.12 samt den under udvikling eksperimentelle version 9.17.10 er offentliggjort. I de nye udgivelser er en sårbarhed (CVE-2020-8625) rettet, der kan føre til buffer-overløb og potentielt muliggøre fjerneksekvering af ondsindet kode. Der er endnu ikke fundet spor af fungerende exploits.
Problemet skyldes en fejl i implementeringen af mekanismen SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), som anvendes i GSSAPI til forhandling af de metoder, der bruges af klienten og serveren beskyttelsesmetoder. GSSAPI anvendes som en høj-niveau protokol til sikker nøgleudveksling ved hjælp af udvidelsen GSS-TSIG, der anvendes i autentificeringsprocessen for dynamiske opdateringer af DNS-zoner.
Sårbarheden påvirker systemer, hvor brugen af GSS-TSIG er aktiveret (for eksempel, hvis konfigurationerne tkey-gssapi-keytab og tkey-gssapi-credential anvendes). GSS-TSIG anvendes typisk i blandede miljøer, hvor BIND kombineres med controllere domænet Active Directory eller ved integration med Samba. I standardkonfigurationen er GSS-TSIG deaktiveret.
Som en midlertidig løsning på problemet, som ikke kræver deaktivering af GSS-TSIG, kan man bygge BIND uden understøttelse af SPNEGO-mekanismen, som kan deaktiveres ved at angive indstillingen «—disable-isc-spnego» under kørsel af konfigurationsscriptet. Problemet er endnu ikke løst i distributionerne. Opdateringer kan følges på følgende sider: Debian, RHEL, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD.
Kilde: opennet.ru
