Objavljene su korektivne nadogradnje stabilnih grana DNS poslužitelja BIND 9.11.31 i 9.16.15, kao i eksperimentalne grane u razvoju 9.17.12. U novim izdanjima ispravljena su tri ranjivosti, od kojih jedna (CVE-2021-25216) dovodi do prelivanja bafer. Na 32-bitnim sustavima ranjivost se može iskoristiti za daljinsko izvršavanje zlonamjernog koda slanjem posebno oblikovanog GSS-TSIG zahtjeva. Na 64-bitnim sustavima problem se ograničava na rušenje procesa named.
Problem se javlja samo kada je uključen mehanizam GSS-TSIG, koji se aktivira postavkama tkey-gssapi-keytab i tkey-gssapi-credential. GSS-TSIG je prema zadanoj konfiguraciji isključen i obično se koristi u miješanim okruženjima, gdje se BIND kombinira s Active Directory kontrolerima domene, ili prilikom integracije s Sambom.
Ranjivost je uzrokovana greškom u implementaciji mehanizma SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), koji se koristi u GSSAPI za pregovaranje o korištenim klijentom i serverom metoda zaštite. GSSAPI se koristi kao visoko nivo protokol za sigurno razmenu ključeva uz pomoć GSS-TSIG ekstenzije koja se koristi tokom verifikacije dinamičkih ažuriranja DNS zona.
Budući da su kritične ranjivosti u ugrađenoj implementaciji SPNEGO otkrivene i ranije, implementacija ovog protokola uklonjena je iz izvornog koda BIND 9. Za korisnike kojima je potrebna podrška za SPNEGO preporučuje se korištenje vanjske implementacije, koju pruža sistemska biblioteka GSSAPI (dostupna u MIT Kerberos i Heimdal Kerberos).
Korisnici starih verzija BIND-a kao privremeno rješenje za blokiranje problema mogu isključiti GSS-TSIG u postavkama (parametri tkey-gssapi-keytab i tkey-gssapi-credential) ili ponovno sastaviti BIND bez podrške za mehanizam SPNEGO (opcija "--disable-isc-spnego" u skripti "configure"). Praćenje dostupnosti nadogradnji u distribucijama može se obaviti na stranicama: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. Paketi RHEL i ALT Linux sastavljaju se bez ugrađene podrške za SPNEGO.
Dodatno, u razmatranim nadogradnjama BIND-a uklonjene su još dvije ranjivosti:
- CVE-2021-25215 — rušenje procesa named prilikom obrade DNAME zapisa (redirigiranje obrade dijela poddomena), što dovodi do dodavanja duplikata u sekciju ANSWER. Za iskorištavanje ranjivosti na autoritativnim DNS poslužiteljima potrebno je izvršiti izmjene u obrađivanim DNS zonama, a za rekurzivne poslužitelja problematični zapis može biti dobiven nakon obratka autoritativnom poslužitelju.
- CVE-2021-25214 — pad sustava named prilikom obrade posebno oblikovanog dolaznog zahtjeva IXFR (koristi se za inkrementalni prijenos promjena u DNS zonama između DNS poslužitelja). Problem pogađa samo sustave koji su omogućili prijenos DNS zona s napadačkog poslužitelja (obično se prijenos zona koristi za sinkronizaciju master i slave poslužitelja i selektivno se omogućuje samo na povjerljivim poslužiteljima). Kao zaobilazno rješenje zaštite, može se isključiti podrška za IXFR putem postavke „request-ixfr no;“.
Izvor: opennet.ru
