A kiadott frissítések a BIND 9.11.31 és 9.16.15 DNS-szerver stabil ágaihoz, valamint a fejlesztés alatt álló kísérleti ág 9.17.12. Az új verziókban három sebezhetőséget orvosoltak, ezek közül az egyik (CVE-2021-25216) puffer túlcsordulást okoz. 32 bites rendszereken a sebezhetőség kihasználható a támadó távoli kódvégrehajtásához egy speciálisan összeállított GSS-TSIG kérés elküldésével. 64 bites rendszereken a probléma a named folyamat összeomlására korlátozódik.
A probléma csak a GSS-TSIG mechanizmus aktiválásakor jelentkezik, amelyet a tkey-gssapi-keytab és tkey-gssapi-credential beállítások aktiválnak. A GSS-TSIG alapértelmezés szerint ki van kapcsolva a konfigurációban, és általában vegyes környezetekben alkalmazzák, ahol a BIND Active Directory domain-vezérlőkkel párosul, vagy Samba integráció során.
A sebezhetőséget a SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism) mechanizmus implementációjának hibája okozza, amelyet az GSSAPI a használt kliens és védelmi módszerek összehangolásához használ. szerverrel Az GSSAPI egy magas szintű protokoll, amely a GSS-TSIG kiterjesztésével kulcsok védett cseréjére szolgál, amelyet a DNS zónák dinamikus frissítéseinek hitelesítésénél alkalmaznak.
Mivel a kritikus sebezhetőségeket a SPNEGO beépített implementációjában korábban is felfedezték, a BIND 9 kódalapjából eltávolították a protokoll implementációját. Azoknak a felhasználóknak, akiknek szükségük van SPNEGO támogatásra, ajánlott egy külső implementáció használata, amelyet a GSSAPI rendszerkönyvtár biztosít (elérhető a MIT Kerberos és Heimdal Kerberos keretein belül).
A korábbi verziójú BIND felhasználói, a probléma kijátszására, kikapcsolhatják a GSS-TSIG-t a beállításokban (tkey-gssapi-keytab és tkey-gssapi-credential paraméterek) vagy újraépíthetik a BIND-ot SPNEGO támogatás nélkül (a configure scriptben használandó "--disable-isc-spnego" opcióval). A frissítések megjelenését a következő disztribúciók oldalain követhetik: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. A RHEL és ALT Linux csomagokat SPNEGO beépített támogatása nélkül állítják elő.
Ezen felül a vizsgált BIND frissítésekben további két sebezhetőséget is orvosoltak:
- CVE-2021-25215 — a named process crash when processing DNAME records (redirect behavior for certain subdomains) that lead to duplicates being added to the ANSWER section. Exploiting this vulnerability on authoritative DNS servers requires changes to the processed DNS zones, and for recursive servers, szerverek the problematic record can be obtained after querying an authoritative server.
- CVE-2021-25214 — a named process crash when processing specially crafted incoming IXFR requests (used for incremental updates between DNS servers). Only systems that allow zone transfers from the attacking server are vulnerable (zone transfers are typically used for synchronizing master and slave servers and are selectively permitted only for trusted servers). As a workaround, IXFR support can be disabled using the configuration "request-ixfr no;".
Forrás: opennet.ru
