{"id":100059,"date":"2021-04-29T10:22:42","date_gmt":"2021-04-29T08:22:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-dns-servera-bind-c-ustraneniem-uyazvimosti-dopuskayushhej-udalyonnoe-vypolnenie-koda"},"modified":"2021-04-29T10:22:42","modified_gmt":"2021-04-29T08:22:42","slug":"obnovlenie-dns-servera-bind-c-ustraneniem-uyazvimosti-dopuskayushhej-udalyonnoe-vypolnenie-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/obnovlenie-dns-servera-bind-c-ustraneniem-uyazvimosti-dopuskayushhej-udalyonnoe-vypolnenie-koda","title":{"rendered":"Update des DNS-Servers BIND zur Behebung einer Sicherheitsanf\u00e4lligkeit, die Remote-Codeausf\u00fchrung erm\u00f6glicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Es wurden Korrektur-Updates f\u00fcr die stabilen Versionen des DNS-Servers BIND 9.11.31 und 9.16.15 sowie f\u00fcr die in Entwicklung befindliche experimentelle Version 9.17.12 ver\u00f6ffentlicht. In den neuen Versionen wurden drei Sicherheitsanf\u00e4lligkeiten behoben, von denen eine (CVE-2021-25216) zu einem Puffer\u00fcberlauf f\u00fchrt. Bei 32-Bit-Systemen kann die Sicherheitsanf\u00e4lligkeit genutzt werden, um durch das Senden einer speziell gestalteten GSS-TSIG-Anfrage Code aus der Ferne auszuf\u00fchren. Auf 64-Bit-Systemen f\u00fchrt das Problem lediglich zum Absturz des Prozesses named. <\/p>\n

Das Problem tritt nur auf, wenn der GSS-TSIG-Mechanismus aktiviert ist, der durch die Einstellungen tkey-gssapi-keytab und tkey-gssapi-credential aktiviert wird. GSS-TSIG ist standardm\u00e4\u00dfig in der Konfiguration deaktiviert und wird gew\u00f6hnlich in gemischten Umgebungen eingesetzt, in denen BIND mit Active Directory-Dom\u00e4nencontrollern kombiniert wird oder bei der Integration mit Samba. <\/p>\n

Die Sicherheitsanf\u00e4lligkeit wird durch einen Fehler in der Implementierung des SPNEGO-Mechanismus (Simple and Protected GSSAPI Negotiation Mechanism) verursacht, der in GSSAPI zur Aushandlung der verwendeten Client- und dem Server durch<\/a> GSSAPI wird als hochrangiges Protokoll f\u00fcr den sicheren Austausch von Schl\u00fcsseln verwendet, wobei die Erweiterung GSS-TSIG zur Authentifizierung dynamischer DNS-Zonenaktualisierungen eingesetzt wird. <\/p>\n

Da kritische Sicherheitsanf\u00e4lligkeiten in der integrierten SPNEGO-Implementierung bereits zuvor festgestellt wurden, wurde die Implementierung dieses Protokolls aus dem Code von BIND 9 entfernt. Benutzern, die SPNEGO ben\u00f6tigen, wird empfohlen, eine externe Implementierung zu verwenden, die von der Systembibliothek GSSAPI bereitgestellt wird (verf\u00fcgbar in MIT Kerberos und Heimdal Kerberos). <\/p>\n

Benutzer \u00e4lterer BIND-Versionen k\u00f6nnen als Umgehung der Blockierungsproblematik GSS-TSIG in den Einstellungen deaktivieren (Parameter tkey-gssapi-keytab und tkey-gssapi-credential) oder BIND ohne Unterst\u00fctzung des SPNEGO-Mechanismus neu kompilieren (Option \"--disable-isc-spnego\" im \"configure\"-Skript). Updates in den Distributionen k\u00f6nnen auf den Seiten von Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD und NetBSD verfolgt werden. RHEL- und ALT Linux-Pakete werden ohne eingebaute Unterst\u00fctzung f\u00fcr SPNEGO bereitgestellt. <\/p>\n

Zus\u00e4tzlich wurden in den betreffenden BIND-Updates noch zwei weitere Sicherheitsanf\u00e4lligkeiten behoben: <\/p>\n