Korrekturpakete für die stabilen Versionen des BIND-DNS-Servers 9.11.31 und 9.16.15 sowie für die im Entstehen begriffene experimentelle Version 9.17.12 wurden veröffentlicht. In den neuen Versionen wurden drei Schwachstellen behoben, von denen eine (CVE-2021-25216) zu einem Buffer Overflow führt. Auf 32-Bit-Systemen kann die Schwachstelle ausgenutzt werden, um die Remote-Codeausführung des Angreifers durch das Senden einer speziell formatierten GSS-TSIG-Anfrage zu ermöglichen. Auf 64-Bit-Systemen beschränkt sich das Problem auf einen Absturz des Prozesses named.
Das Problem tritt nur auf, wenn der Mechanismus GSS-TSIG aktiviert ist, der durch die Einstellungen tkey-gssapi-keytab und tkey-gssapi-credential aktiviert wird. GSS-TSIG ist in der Standardkonfiguration deaktiviert und wird in der Regel in gemischten Umgebungen eingesetzt, in denen BIND mit Active Directory-Domänencontrollern kombiniert wird oder bei der Integration mit Samba.
Die Schwachstelle wird durch einen Fehler in der Implementierung des SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism) verursacht, der in der GSSAPI zur Aushandlung der verwendeten Client- und Server Schutzmethoden eingesetzt wird. GSSAPI wird als Hochspracheprotokoll für den sicheren Schlüsselaustausch mithilfe der GSS-TSIG-Erweiterung verwendet, die bei der Authentifizierung dynamischer DNS-Zonen-Updates zur Anwendung kommt.
Da kritische Schwachstellen in der integrierten SPNEGO-Implementierung bereits zuvor gefunden wurden, wurde die Implementierung dieses Protokolls aus dem Code-Basis von BIND 9 entfernt. Benutzern, die SPNEGO benötigen, wird empfohlen, eine externe Implementierung zu verwenden, die von der Systembibliothek GSSAPI bereitgestellt wird (verfügbar in MIT Kerberos und Heimdal Kerberos).
Benutzer älterer BIND-Versionen können als Workaround zur Blockierung des Problems GSS-TSIG in den Einstellungen deaktivieren (Parameter tkey-gssapi-keytab und tkey-gssapi-credential) oder BIND ohne Unterstützung für den SPNEGO-Mechanismus neu kompilieren (Option „—disable-isc-spnego“ im Skript „configure“). Informationen zu neuen Updates in den Distributionen sind auf den Seiten: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD zu finden. Die Pakete RHEL und ALT Linux werden ohne integrierte Unterstützung für SPNEGO gebaut.
Darüber hinaus wurden in den betrachteten Updates von BIND zwei weitere Schwachstellen behoben:
- CVE-2021-25215 – Absturz des Prozesses named bei der Verarbeitung von DNAME-Einträgen (Weiterleitung der Verarbeitung von Subdomänen), was zu Duplikaten im ANSWER-Bereich führt. Um die Schwachstelle auf autoritativen DNS-Servern auszunutzen, sind Änderungen in den bearbeiteten DNS-Zonen erforderlich, und bei rekursiven Server kann der problematische Eintrag nach einer Anfrage an den autoritativen Server erhalten werden.
- CVE-2021-25214 – Absturz des Prozesses named bei der Verarbeitung einer speziell gestalteten eingehenden IXFR-Anfrage (verwendet für die inkrementelle Übertragung von Änderungen in DNS-Zonen zwischen DNS-Servern). Betroffen sind nur Systeme, die die Übertragung von DNS-Zonen vom angreifenden Server zulassen (in der Regel wird die Zonenübertragung zur Synchronisation von Master- und Slave-Servern verwendet und selektiv nur für vertrauenswürdige Server genehmigt). Als Schutzmaßnahme kann die Unterstützung von IXFR durch die Einstellung „request-ixfr no;“ deaktiviert werden.
Quelle: opennet.ru
