Korrektur-Updates für die stabilen Versionen des DNS-Servers BIND 9.11.28 und 9.16.12 sowie für die in Entwicklung befindliche experimentelle Version 9.17.10 wurden veröffentlicht. In den neuen Versionen wurde eine Schwachstelle (CVE-2020-8625) behoben, die zu einem Pufferüberlauf führen kann und potenziell die Ausführung von Schadcode aus der Ferne ermöglicht. Bisher wurden keine Anzeichen für funktionierende Exploits gefunden.
Das Problem wird durch einen Fehler in der Implementierung des SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism) verursacht, das in GSSAPI zur Aushandlung der verwendeten klientenseitigen und Server Schutzmethoden eingesetzt wird. GSSAPI wird als Hochspracheprotokoll für den sicheren Schlüsselaustausch mithilfe der GSS-TSIG-Erweiterung verwendet, die bei der Authentifizierung dynamischer DNS-Zonen-Updates zur Anwendung kommt.
Die Schwachstelle betrifft Systeme, bei denen die Verwendung von GSS-TSIG aktiviert ist (z. B. wenn die Einstellungen tkey-gssapi-keytab und tkey-gssapi-credential verwendet werden). GSS-TSIG wird typischerweise in gemischten Umgebungen eingesetzt, in denen BIND mit Domänencontrollern von der Domain unterscheiden, gesetzt werden. Active Directory oder bei der Integration mit Samba kombiniert wird. In der Standardkonfiguration ist GSS-TSIG deaktiviert.
Ein Workaround zur Blockierung des Problems, der keine Deaktivierung von GSS-TSIG erfordert, ist der Bau von BIND ohne Unterstützung für den SPNEGO-Mechanismus, der durch Angeben der Option „—disable-isc-spnego“ beim Start des Skripts „configure“ deaktiviert werden kann. In den Distributionen bleibt das Problem derzeit ungelöst. Updates können auf den folgenden Seiten verfolgt werden: Debian, RHEL, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD.
Quelle: opennet.ru
