Mise à jour du serveur DNS BIND pour corriger une vulnérabilité permettant l'exécution de code à distance

Des mises à jour correctives pour les branches stables des serveurs DNS BIND 9.11.31 et 9.16.15 ont été publiées, ainsi qu'une branche expérimentale en développement, 9.17.12. Les nouvelles versions corrigent trois vulnérabilités, dont l'une (CVE-2021-25216) entraîne un débordement de tampon. Sur les systèmes 32 bits, cette vulnérabilité peut être exploitée pour exécuter du code à distance par un attaquant en envoyant une requête GSS-TSIG spécialement formatée. Sur les systèmes 64 bits, le problème se limite à un plantage du processus named.

Le problème se manifeste uniquement lorsque le mécanisme GSS-TSIG est activé via les paramètres tkey-gssapi-keytab et tkey-gssapi-credential. GSS-TSIG est désactivé dans la configuration par défaut et est généralement utilisé dans des environnements mixtes où BIND est associé à des contrôleurs de domaine Active Directory, ou lors de l'intégration avec Samba.

La vulnérabilité est due à une erreur dans la mise en œuvre du mécanisme SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), utilisé dans GSSAPI pour négocier le client et le serveur qui doivent être utilisés. serveur les méthodes de protection. GSSAPI est utilisé comme protocole de haut niveau pour un échange sécurisé de clés via l'extension GSS-TSIG, qui est utilisée lors du processus d'authentification des mises à jour dynamiques des zones DNS.

Étant donné que des vulnérabilités critiques dans la mise en œuvre intégrée de SPNEGO ont été découvertes auparavant, l'implémentation de ce protocole a été retirée de la base de code de BIND 9. Pour les utilisateurs qui ont besoin de la prise en charge de SPNEGO, il est recommandé d'utiliser une implémentation externe fournie par la bibliothèque système GSSAPI (fournie dans MIT Kerberos et Heimdal Kerberos).

Les utilisateurs des anciennes versions de BIND peuvent comme solution de contournement désactiver GSS-TSIG dans les paramètres (options tkey-gssapi-keytab et tkey-gssapi-credential) ou recompiler BIND sans le support du mécanisme SPNEGO (option «–disable-isc-spnego» dans le script «configure»). Les mises à jour dans les distributions peuvent être consultées sur les pages : Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. Les paquets RHEL et ALT Linux sont compilés sans le support intégré de SPNEGO.

De plus, les mises à jour BIND examinées corrigent deux autres vulnérabilités :

• CVE-2021-25215 — plantage du processus named lors du traitement des enregistrements DNAME (redirection du traitement de certaines sous-domaines), entraînant l'ajout de duplicatas dans la section ANSWER. Pour exploiter la vulnérabilité sur les serveurs DNS autoritaires, des modifications doivent être apportées aux zones DNS traitées, et pour les serveurs récursifs, serveurs l'enregistrement problématique peut être obtenu après une requête à un serveur autoritaire.
• CVE-2021-25214 — Plantage du processus named lors du traitement d'une requête IXFR spécialement conçue (utilisée pour la transmission incrémentale des modifications des zones DNS entre les serveurs DNS). Le problème concerne uniquement les systèmes qui ont autorisé la transmission des zones DNS depuis le serveur de l'attaquant (en général, la transmission des zones est utilisée pour synchroniser les serveurs master et slave et est sélectionnée uniquement pour les serveurs de confiance). Comme solution de contournement, il est possible de désactiver le support d'IXFR avec la configuration « request-ixfr no; ».

Source : opennet.ru