Der er offentliggjort rettende opdateringer til de stabile versioner af DNS-serveren BIND 9.11.31 og 9.16.15, samt til den eksperimentelle udviklingsversion 9.17.12. I de nye udgivelser er tre sårbarheder blevet rettet, hvoraf en (CVE-2021-25216) kan føre til et buffer-overløb. På 32-bit systemer kan sårbarheden udnyttes til fjernudførelse af ondsindet kode ved at sende en specielt udformet GSS-TSIG-anmodning. På 64-bit systemer begrænser problemet sig til nedbrud af named-processen.
Problemet opstår kun, når GSS-TSIG-mekanismen er aktiveret via indstillingerne tkey-gssapi-keytab og tkey-gssapi-credential. GSS-TSIG er deaktiveret i standardkonfigurationen og anvendes typisk i blandede miljøer, hvor BIND interagerer med Active Directory-domænekontrollere, eller ved integration med Samba.
Sårbarheden skyldes en fejl i implementeringen af SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), der anvendes i GSSAPI til at forhandle de anvendte klient- og serversystemer. serveren beskyttelsesmetoder. GSSAPI anvendes som en høj-niveau protokol til sikker nøgleudveksling ved hjælp af udvidelsen GSS-TSIG, der anvendes i autentificeringsprocessen for dynamiske opdateringer af DNS-zoner.
Da kritiske sårbarheder i den indbyggede implementering af SPNEGO tidligere er blevet opdaget, er implementeringen af denne protokol fjernet fra BIND 9's kodebase. Brugere, der har brug for støtte til SPNEGO, anbefales at anvende en ekstern implementering leveret af systembiblioteket GSSAPI (tilgængelig i MIT Kerberos og Heimdal Kerberos).
Brugere af tidligere versioner af BIND kan som en midlertidig løsning deaktivere GSS-TSIG i indstillingerne (parametrene tkey-gssapi-keytab og tkey-gssapi-credential) eller genkompilere BIND uden support for SPNEGO-mekanismen (valgmuligheden "--disable-isc-spnego" i "configure"-scriptet). For at følge med i opdateringer i distributionerne kan man besøge siderne: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. Pakkerne til RHEL og ALT Linux kompilere uden indbygget support for SPNEGO.
Derudover er yderligere to sårbarheder blevet rettet i de nævnte opdateringer af BIND:
- CVE-2021-25215 — nedbrud af named-processen ved behandling af DNAME-poster (videresendelse af delvise undermapper), som fører til tilføjelse af duplikater i ANSWER-sektionen. For at udnytte sårbarheden på autoritative DNS-servere kræves der ændringer i de behandlede DNS-zoner, og for rekursive servere kan den problematiske post opnås efter henvendelse til en autoritativ server.
- CVE-2021-25214 — nedbrud af processen named ved behandling af et specielt formateret indkommende IXFR-anmodning (bruges til inkrementel overførsel af ændringer i DNS-zoner mellem DNS-servere). Problemet rammer kun systemer, der har tilladt overførsel af DNS-zoner fra en angrebserver (normalt bruges zonetransfer til at synkronisere master- og slave-servere og tillades som regel kun for betroede servere). Som en midlertidig løsning kan IXFR deaktiveres ved hjælp af indstillingen «request-ixfr no;».
Kilde: opennet.ru
