Megjelentek a BIND DNS-szerver 9.11.28 és 9.16.12 stabil ágainak, valamint a fejlesztés alatt álló kísérleti 9.17.10 ágnak a hibajavító frissítései. Az új verziók orvosolják a (CVE-2020-8625) sebezhetőséget, amely puffertúlcsordulást okozhat, és potenciálisan távoli kódvégrehajtást eredményezhet a támadó részéről. Még nem találtak bizonyítékokat működő exploitokra.
A probléma egy hiba miatt lépett fel a SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism) mechanizmus megvalósításában, amelyet a GSSAPI alkalmaz az ügyfél által használt és szerverrel Az GSSAPI egy magas szintű protokoll, amely a GSS-TSIG kiterjesztésével kulcsok védett cseréjére szolgál, amelyet a DNS zónák dinamikus frissítéseinek hitelesítésénél alkalmaznak.
A sebezhetőség érinti azokat a rendszereket, ahol engedélyezve van a GSS-TSIG használata (például ha a tkey-gssapi-keytab és a tkey-gssapi-credential beállítások vannak használatban). A GSS-TSIG általában vegyes környezetekben használatos, ahol a BIND Active Directory vezérlőkkel, vagy Samba integrációval domain dolgozik. Az alapértelmezett konfigurációban a GSS-TSIG ki van kapcsolva.
Problémablocking megoldásként, amely nem igényel GSS-TSIG letiltását, azt a BIND összeállítást jelölik, amely nem támogatja a SPNEGO mechanizmust, és amelyet a "configure" skriptus indításakor az „--disable-isc-spnego” opció megadásával lehet letiltani. A disztribúciókban a probléma egyelőre továbbra is megoldatlan. Frissítések követésére az alábbi oldalakat látogathatja: Debian, RHEL, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD.
Forrás: opennet.ru
