Sono stati pubblicati aggiornamenti correttivi per i rami stabili del server DNS BIND 9.11.31 e 9.16.15, nonché per il ramo sperimentale in fase di sviluppo 9.17.12. Le nuove versioni risolvono tre vulnerabilità, una delle quali (CVE-2021-25216) porta a un overflow del buffer. Su sistemi a 32 bit, la vulnerabilità può essere sfruttata per l'esecuzione remota di codice da parte di un aggressore inviando una richiesta GSS-TSIG appositamente formattata. Su sistemi a 64 bit, il problema è limitato al crash del processo named.
Il problema si manifesta solo con l'attivazione del meccanismo GSS-TSIG, attivato tramite le impostazioni tkey-gssapi-keytab e tkey-gssapi-credential. GSS-TSIG è disabilitato nella configurazione predefinita ed è generalmente utilizzato in ambienti misti, in cui BIND viene combinato con controller di dominio Active Directory o durante l'integrazione con Samba.
La vulnerabilità è causata da un errore nell'implementazione del meccanismo SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), utilizzato in GSSAPI per la negoziazione del protocollo client e server metodi di protezione. GSSAPI viene utilizzato come protocollo di alto livello per lo scambio sicuro di chiavi tramite l'estensione GSS-TSIG, utilizzata nel processo di autenticazione degli aggiornamenti dinamici delle zone DNS.
Poiché in passato sono state trovate vulnerabilità critiche nell'implementazione integrata di SPNEGO, l'implementazione di questo protocollo è stata rimossa dalla base di codice di BIND 9. Per gli utenti che necessitano del supporto SPNEGO, si consiglia di utilizzare un'implementazione esterna fornita dalla libreria di sistema GSSAPI (disponibile in MIT Kerberos e Heimdal Kerberos).
Gli utenti delle versioni precedenti di BIND, come soluzione per bloccare il problema, possono disabilitare GSS-TSIG nelle impostazioni (parametri tkey-gssapi-keytab e tkey-gssapi-credential) oppure ricompilare BIND senza il supporto del meccanismo SPNEGO (opzione "--disable-isc-spnego" nello script "configure"). È possibile monitorare l'uscita di aggiornamenti nelle distribuzioni sulle seguenti pagine: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. I pacchetti RHEL e ALT Linux vengono compilati senza il supporto integrato di SPNEGO.
In aggiunta, negli aggiornamenti considerati, BIND ha risolto altre due vulnerabilità:
- CVE-2021-25215 — crash del processo named durante l'elaborazione di record DNAME (redirect dell'elaborazione di alcune sotto-domeni), che portano all'aggiunta di duplicati nella sezione ANSWER. Per sfruttare questa vulnerabilità sui server DNS autorevoli è necessario modificare le zone DNS elaborate, e per i server ricorsivi server il record problematico può essere ottenuto dopo aver contattato un server autorevole.
- CVE-2021-25214 — crash del processo named durante l'elaborazione di una richiesta in ingresso IXFR appositamente formattata (utilizzata per la trasmissione incrementale delle modifiche alle zone DNS tra i server DNS). La vulnerabilità colpisce solo i sistemi che hanno autorizzato il trasferimento delle zone DNS dal server attaccante (di solito il trasferimento delle zone viene utilizzato per la sincronizzazione tra server master e slave e viene autorizzato selettivamente solo per server fidati). Come soluzione di protezione, è possibile disabilitare il supporto IXFR tramite la configurazione «request-ixfr no;».
Fonte: opennet.ru
