रिमोट कोड निष्पादन भेद्यता को ठीक करने के लिए BIND DNS सर्वर को अपडेट करना

BIND DNS सर्वर 9.11.31 और 9.16.15 की स्थिर शाखाओं के साथ-साथ प्रायोगिक शाखा 9.17.12, जो विकास में है, के लिए सुधारात्मक अद्यतन प्रकाशित किए गए हैं। नई रिलीज़ तीन कमजोरियों को संबोधित करती हैं, जिनमें से एक (CVE-2021-25216) बफर ओवरफ़्लो का कारण बनती है। 32-बिट सिस्टम पर, विशेष रूप से तैयार किए गए जीएसएस-टीएसआईजी अनुरोध भेजकर किसी हमलावर के कोड को दूरस्थ रूप से निष्पादित करने के लिए भेद्यता का फायदा उठाया जा सकता है। 64 प्रणालियों पर समस्या नामित प्रक्रिया के क्रैश होने तक सीमित है।

समस्या केवल तभी प्रकट होती है जब GSS-TSIG तंत्र सक्षम होता है, tkey-gssapi-keytab और tkey-gssapi-क्रेडेंशियल सेटिंग्स का उपयोग करके सक्रिय किया जाता है। जीएसएस-टीएसआईजी डिफ़ॉल्ट कॉन्फ़िगरेशन में अक्षम है और आमतौर पर मिश्रित वातावरण में उपयोग किया जाता है जहां BIND को सक्रिय निर्देशिका डोमेन नियंत्रकों के साथ जोड़ा जाता है, या सांबा के साथ एकीकृत करते समय।

भेद्यता एसपीएनईजीओ (सरल और संरक्षित जीएसएसएपीआई निगोशिएशन तंत्र) तंत्र के कार्यान्वयन में त्रुटि के कारण होती है, जिसका उपयोग जीएसएसएपीआई में क्लाइंट और सर्वर द्वारा उपयोग की जाने वाली सुरक्षा विधियों पर बातचीत करने के लिए किया जाता है। जीएसएसएपीआई का उपयोग गतिशील डीएनएस ज़ोन अपडेट को प्रमाणित करने की प्रक्रिया में उपयोग किए जाने वाले जीएसएस-टीएसआईजी एक्सटेंशन का उपयोग करके सुरक्षित कुंजी विनिमय के लिए एक उच्च-स्तरीय प्रोटोकॉल के रूप में किया जाता है।

क्योंकि SPNEGO के अंतर्निहित कार्यान्वयन में महत्वपूर्ण कमजोरियाँ पहले पाई गई हैं, इस प्रोटोकॉल के कार्यान्वयन को BIND 9 कोड बेस से हटा दिया गया है। जिन उपयोगकर्ताओं को SPNEGO समर्थन की आवश्यकता होती है, उनके लिए GSSAPI द्वारा प्रदान किए गए बाहरी कार्यान्वयन का उपयोग करने की अनुशंसा की जाती है सिस्टम लाइब्रेरी (MIT Kerberos और Heimdal Kerberos में प्रदान की गई)।

BIND के पुराने संस्करणों के उपयोगकर्ता, समस्या को रोकने के समाधान के रूप में, सेटिंग्स में GSS-TSIG को अक्षम कर सकते हैं (विकल्प tkey-gssapi-keytab और tkey-gssapi-क्रेडेंशियल) या SPNEGO तंत्र के समर्थन के बिना BIND का पुनर्निर्माण कर सकते हैं (विकल्प "- -disable-isc-spnego" स्क्रिप्ट में "कॉन्फ़िगर")। आप निम्नलिखित पृष्ठों पर वितरण में अपडेट की उपलब्धता को ट्रैक कर सकते हैं: डेबियन, एसयूएसई, उबंटू, फेडोरा, आर्क लिनक्स, फ्रीबीएसडी, नेटबीएसडी। आरएचईएल और एएलटी लिनक्स पैकेज देशी एसपीएनईजीओ समर्थन के बिना बनाए गए हैं।

इसके अतिरिक्त, विचाराधीन BIND अद्यतनों में दो और कमजोरियाँ ठीक की गई हैं:

• सीवीई-2021-25215 - डीएनएएमई रिकॉर्ड (उपडोमेन के हिस्से की रीडायरेक्ट प्रोसेसिंग) को संसाधित करते समय नामित प्रक्रिया क्रैश हो गई, जिससे उत्तर अनुभाग में डुप्लिकेट जुड़ गए। आधिकारिक DNS सर्वर पर भेद्यता का फायदा उठाने के लिए संसाधित DNS ज़ोन में परिवर्तन करने की आवश्यकता होती है, और पुनरावर्ती सर्वर के लिए, आधिकारिक सर्वर से संपर्क करने के बाद समस्याग्रस्त रिकॉर्ड प्राप्त किया जा सकता है।
• CVE-2021-25214 - विशेष रूप से तैयार किए गए आने वाले IXFR अनुरोध को संसाधित करते समय नामित प्रक्रिया क्रैश हो जाती है (DNS सर्वर के बीच DNS ज़ोन में परिवर्तन को क्रमिक रूप से स्थानांतरित करने के लिए उपयोग किया जाता है)। समस्या केवल उन प्रणालियों को प्रभावित करती है जिन्होंने हमलावर के सर्वर से DNS ज़ोन स्थानांतरण की अनुमति दी है (आमतौर पर ज़ोन ट्रांसफ़र का उपयोग मास्टर और स्लेव सर्वर को सिंक्रनाइज़ करने के लिए किया जाता है और चुनिंदा रूप से केवल भरोसेमंद सर्वर के लिए अनुमति दी जाती है)। सुरक्षा समाधान के रूप में, आप "अनुरोध-ixfr संख्या" सेटिंग का उपयोग करके IXFR समर्थन को अक्षम कर सकते हैं।

स्रोत: opennet.ru