Objavljene su ispravke za stabilne verzije DNS servera BIND 9.11.28 i 9.16.12, kao i za eksperimentalnu verziju 9.17.10 koja se razvija. U novim izdanjima ispravljena je ranljivost (CVE-2020-8625) koja dovodi do preljevanja bafera i potencijalno omogućava daljinsko izvršavanje koda od strane napadača. Trenutno nema dokaza o aktivnim eksploatacijama.
Problem je uzrokovan greškom u implementaciji mehanizma SPNEGO (Jednostavna i zaštićena GSSAPI pregovaranje mehanizma), koji se koristi u GSSAPI za usaglašavanje korišćenih klijentovih serverom metoda zaštite. GSSAPI se koristi kao visoko nivo protokol za sigurno razmenu ključeva uz pomoć GSS-TSIG ekstenzije koja se koristi tokom verifikacije dinamičkih ažuriranja DNS zona.
Ranljivost se odnosi na sisteme u kojima je omogućena upotreba GSS-TSIG (na primer, ako su aktivirane opcije tkey-gssapi-keytab i tkey-gssapi-credential). GSS-TSIG se obično koristi u mešovitim okruženjima gde se BIND primenjuje sa kontrolerima domenu Active Directory, ili prilikom integracije sa Sambom. U defaultnoj konfiguraciji GSS-TSIG je isključen.
Kao rešenje problema bez potrebe za onemogućavanjem GSS-TSIG preporučuje se kompajliranje BIND bez podrške za SPNEGO mehanizam, što se može isključiti pomoću opcije „—disable-isc-spnego“ prilikom pokretanja skripte „configure“. U distribucijama problem ostaje nerešen. Ažuriranja se mogu pratiti na sledećim stranicama: Debian, RHEL, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD.
Izvor: opennet.ru
