DNS-serveri BIND värskendus, mis kõrvaldab haavatavuse, mis lubab kaugelt koodi täitmist

On avaldatud DNS-serveri BIND stabiilsete versioonide 9.11.31 ja 9.16.15 parandavad värskendused, samuti arenduses olev eksperimentaalne versioon 9.17.12. Uutes väljaannetest on kõrvaldatud kolm haavatavust, millest üks (CVE-2021-25216) põhjustab puhversalvestuse ületäitumise. 32-bitistes süsteemides saab haavatavust kasutada kurjategija koodijooksukeskkonna kaudu, saates spetsiaalselt koostatud GSS-TSIG päringu. 64-bitistes süsteemides piirduvad probleemid named protsessi kokkuvarisemisega.

Probleem avaldub ainult GSS-TSIG mehhanismi sisselülitamisel, mis aktiveeritakse tkey-gssapi-keytab ja tkey-gssapi-credential seadistuste abil. GSS-TSIG on vaikimisi konfiguratsioonis välja lülitatud ja seda rakendatakse tavaliselt segakeskkondades, kus BIND kombineeritakse Active Directory domeeni kontrolleritega või Samba integreerimise korral.

Haavatavus on tingitud veast SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism) mehhanismi rakendamisel, mida kasutatakse GSSAPI-s klientide ja serverite kokkuleppimiseks. serverilt GSSAPI-d kasutatakse kõrgema taseme protokollina turvaliseks võtmete vahetamiseks GSS-TSIG laienduse kaudu, mida kasutatakse DNS-piirkondade dünaamiliste uuenduste autentimise protsessis.

Kuna kriitilisi haavatavusi sisseehitatud SPNEGO rakenduses on varem leitud, on selle protokolli rakendus eemaldatud BIND 9 koodibaasist. Kasutajatele, kellele on vajalik SPNEGO tugi, soovitatakse kasutada väliseid lahendusi, mida pakub süsteemi GSSAPI teek (saadaval MIT Kerberos ja Heimdal Kerberos kaudu).

Vanemate BINDi versioonide kasutajad saavad probleemi blokeerimiseks GSS-TSIG konfiguratsioonis välja lülitada (seaded tkey-gssapi-keytab ja tkey-gssapi-credential) või kompileerida BINDi ilma SPNEGO mehhanismi toeta (valik "--disable-isc-spnego" configure skriptis). Uuenduste jälgimiseks distributsioonides saab vaadata lehtedele: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. RHEL ja ALT Linuxi paketid kompileeritakse ilma sisseehitatud SPNEGO toeta.

Lisaks on käsitletavates BINDi uuendustes kõrvaldatud veel kaks haavatavust:

• CVE-2021-25215 — named protsessi kokkuvarisemine, kui töödeldakse DNAME kirjeid (alamdomeenide töötlemise suunamine), mis toovad sektsiooni ANSWER tõuked. Haavatavuse kasutamiseks autoriteetsetel DNS-serveritel on vajalik muudatused töödeldavates DNS-tsoonides, ja rekurssiivsete serverid probleemsete kirjete saamine on võimalik pärast kontakti loomist autoriteetsete serveritega.
• CVE-2021-25214 — named protsessi krah, kui töödeldakse spetsiaalselt vormindatud sissetulevat IXFR päringut (kasutatakse DNS-serverite vahel DNS tsoonide muudatuste inkrementaalseks edastamiseks). Probleem on haavatav ainult süsteemides, mis on lubanud DNS tsoonide edastamise rünnaku all olevalt serverilt (kui tavaliselt kasutatakse tsoonide edastamist master- ja slave-serverite sünkroniseerimiseks ning see võimaldatakse ainult usaldusväärsetele serveritele). Kaitseks on võimalik IXFR toetamist välja lülitada seades „request-ixfr no;”.

Allikas: opennet.ru