{"id":100059,"date":"2021-04-29T10:22:42","date_gmt":"2021-04-29T08:22:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-dns-servera-bind-c-ustraneniem-uyazvimosti-dopuskayushhej-udalyonnoe-vypolnenie-koda"},"modified":"2021-04-29T10:22:42","modified_gmt":"2021-04-29T08:22:42","slug":"obnovlenie-dns-servera-bind-c-ustraneniem-uyazvimosti-dopuskayushhej-udalyonnoe-vypolnenie-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/obnovlenie-dns-servera-bind-c-ustraneniem-uyazvimosti-dopuskayushhej-udalyonnoe-vypolnenie-koda","title":{"rendered":"Actualizaci\u00f3n del servidor DNS BIND para corregir una vulnerabilidad que permite la ejecuci\u00f3n remota de c\u00f3digo","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Se han publicado actualizaciones correctivas para las ramas estables del servidor DNS BIND 9.11.31 y 9.16.15, as\u00ed como para la rama experimental en desarrollo 9.17.12. En estas nuevas versiones se han solucionado tres vulnerabilidades, una de las cuales (CVE-2021-25216) provoca un desbordamiento de b\u00fafer. En sistemas de 32 bits, la vulnerabilidad puede ser explotada para la ejecuci\u00f3n remota de c\u00f3digo por parte de un atacante mediante el env\u00edo de una solicitud GSS-TSIG espec\u00edficamente dise\u00f1ada. En sistemas de 64 bits, el problema se limita a un fallo en el proceso named. <\/p>\n

El problema solo se manifiesta cuando se activa el mecanismo GSS-TSIG, que se habilita mediante las configuraciones tkey-gssapi-keytab y tkey-gssapi-credential. GSS-TSIG est\u00e1 desactivado en la configuraci\u00f3n predeterminada y generalmente se utiliza en entornos mixtos donde BIND se combina con controladores de dominio Active Directory, o en la integraci\u00f3n con Samba. <\/p>\n

La vulnerabilidad es causada por un error en la implementaci\u00f3n del mecanismo SPNEGO (Mecanismo de Negociaci\u00f3n GSSAPI Simple y Protegido), utilizado en GSSAPI para la negociaci\u00f3n de los protocolos utilizados por el cliente y el servidor<\/a> los m\u00e9todos de protecci\u00f3n. GSSAPI se utiliza como un protocolo de alto nivel para el intercambio seguro de claves a trav\u00e9s de la extensi\u00f3n GSS-TSIG, utilizada en el proceso de autenticaci\u00f3n de actualizaciones din\u00e1micas de zonas DNS. <\/p>\n

Dado que se han encontrado vulnerabilidades cr\u00edticas en la implementaci\u00f3n incorporada de SPNEGO en el pasado, esta implementaci\u00f3n ha sido eliminada del c\u00f3digo base de BIND 9. Para los usuarios que necesitan soporte para SPNEGO, se recomienda utilizar una implementaci\u00f3n externa proporcionada por la biblioteca del sistema GSSAPI (disponible en MIT Kerberos y Heimdal Kerberos). <\/p>\n

Los usuarios de versiones antiguas de BIND pueden, como soluci\u00f3n alternativa para bloquear el problema, desactivar GSS-TSIG en la configuraci\u00f3n (par\u00e1metros tkey-gssapi-keytab y tkey-gssapi-credential) o recompilar BIND sin el soporte del mecanismo SPNEGO (opci\u00f3n «—disable-isc-spnego» en el script «configure»). Se puede hacer un seguimiento de las actualizaciones en las distribuciones en las siguientes p\u00e1ginas: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. Los paquetes de RHEL y ALT Linux se compilan sin el soporte incorporado de SPNEGO. <\/p>\n

Adem\u00e1s, en las actualizaciones de BIND mencionadas, se han corregido otras dos vulnerabilidades: <\/p>\n