{"id":100059,"date":"2021-04-29T10:22:42","date_gmt":"2021-04-29T08:22:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-dns-servera-bind-c-ustraneniem-uyazvimosti-dopuskayushhej-udalyonnoe-vypolnenie-koda"},"modified":"2021-04-29T10:22:42","modified_gmt":"2021-04-29T08:22:42","slug":"obnovlenie-dns-servera-bind-c-ustraneniem-uyazvimosti-dopuskayushhej-udalyonnoe-vypolnenie-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/obnovlenie-dns-servera-bind-c-ustraneniem-uyazvimosti-dopuskayushhej-udalyonnoe-vypolnenie-koda","title":{"rendered":"Mise \u00e0 jour du serveur DNS BIND pour corriger une vuln\u00e9rabilit\u00e9 permettant l'ex\u00e9cution de code \u00e0 distance","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Des mises \u00e0 jour correctives pour les branches stables des serveurs DNS BIND 9.11.31 et 9.16.15 ont \u00e9t\u00e9 publi\u00e9es, ainsi qu'une branche exp\u00e9rimentale en d\u00e9veloppement, 9.17.12. Les nouvelles versions corrigent trois vuln\u00e9rabilit\u00e9s, dont l'une (CVE-2021-25216) entra\u00eene un d\u00e9bordement de tampon. Sur les syst\u00e8mes 32 bits, cette vuln\u00e9rabilit\u00e9 peut \u00eatre exploit\u00e9e pour ex\u00e9cuter du code \u00e0 distance par un attaquant en envoyant une requ\u00eate GSS-TSIG sp\u00e9cialement format\u00e9e. Sur les syst\u00e8mes 64 bits, le probl\u00e8me se limite \u00e0 un plantage du processus named. <\/p>\n

Le probl\u00e8me se manifeste uniquement lorsque le m\u00e9canisme GSS-TSIG est activ\u00e9 via les param\u00e8tres tkey-gssapi-keytab et tkey-gssapi-credential. GSS-TSIG est d\u00e9sactiv\u00e9 dans la configuration par d\u00e9faut et est g\u00e9n\u00e9ralement utilis\u00e9 dans des environnements mixtes o\u00f9 BIND est associ\u00e9 \u00e0 des contr\u00f4leurs de domaine Active Directory, ou lors de l'int\u00e9gration avec Samba. <\/p>\n

La vuln\u00e9rabilit\u00e9 est due \u00e0 une erreur dans la mise en \u0153uvre du m\u00e9canisme SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), utilis\u00e9 dans GSSAPI pour n\u00e9gocier le client et le serveur qui doivent \u00eatre utilis\u00e9s. serveur<\/a> les m\u00e9thodes de protection. GSSAPI est utilis\u00e9 comme protocole de haut niveau pour un \u00e9change s\u00e9curis\u00e9 de cl\u00e9s via l'extension GSS-TSIG, qui est utilis\u00e9e lors du processus d'authentification des mises \u00e0 jour dynamiques des zones DNS. <\/p>\n

\u00c9tant donn\u00e9 que des vuln\u00e9rabilit\u00e9s critiques dans la mise en \u0153uvre int\u00e9gr\u00e9e de SPNEGO ont \u00e9t\u00e9 d\u00e9couvertes auparavant, l'impl\u00e9mentation de ce protocole a \u00e9t\u00e9 retir\u00e9e de la base de code de BIND 9. Pour les utilisateurs qui ont besoin de la prise en charge de SPNEGO, il est recommand\u00e9 d'utiliser une impl\u00e9mentation externe fournie par la biblioth\u00e8que syst\u00e8me GSSAPI (fournie dans MIT Kerberos et Heimdal Kerberos). <\/p>\n

Les utilisateurs des anciennes versions de BIND peuvent contourner le blocage du probl\u00e8me en d\u00e9sactivant GSS-TSIG dans les param\u00e8tres (options tkey-gssapi-keytab et tkey-gssapi-credential) ou en recompilant BIND sans support du m\u00e9canisme SPNEGO (option \u00ab\u00a0\u2014disable-isc-spnego\u00a0\u00bb dans le script \u00ab\u00a0configure\u00a0\u00bb). Pour suivre les mises \u00e0 jour dans les distributions, consultez les pages : Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. Les paquets RHEL et ALT Linux sont compil\u00e9s sans support int\u00e9gr\u00e9 pour SPNEGO. <\/p>\n

De plus, les mises \u00e0 jour BIND examin\u00e9es corrigent deux autres vuln\u00e9rabilit\u00e9s : <\/p>\n