Sono state rilasciate aggiornamenti correttivi per le versioni stabili del server DNS BIND 9.11.31 e 9.16.15, oltre alla versione sperimentale in fase di sviluppo 9.17.12. Nei nuovi rilascio sono state risolte tre vulnerabilità, una delle quali (CVE-2021-25216) porta a un overflow del buffer. Su sistemi a 32 bit, la vulnerabilità può essere sfruttata per l'esecuzione remota di codice da parte di un aggressore tramite l'invio di una richiesta formattata appositamente GSS-TSIG. Su sistemi a 64 bit, il problema si limita al crash del processo named.
Il problema si manifesta solo attivando il meccanismo GSS-TSIG, che può essere attivato mediante le impostazioni tkey-gssapi-keytab e tkey-gssapi-credential. GSS-TSIG è disattivato nella configurazione predefinita e viene solitamente utilizzato in ambienti misti, in cui BIND è combinato con controllori di dominio Active Directory o durante l'integrazione con Samba.
La vulnerabilità è causata da un errore nell'implementazione del meccanismo SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), utilizzato in GSSAPI per negoziare le modalità utilizzate dal client e server dei metodi di protezione. Il GSSAPI è utilizzato come protocollo di alto livello per lo scambio sicuro delle chiavi tramite l'estensione GSS-TSIG, impiegata durante il processo di autenticazione degli aggiornamenti dinamici delle zone DNS.
Poiché sono state già trovate vulnerabilità critiche nell'implementazione integrata di SPNEGO, questo protocollo è stato rimosso dal codice sorgente di BIND 9. Per gli utenti che necessitano del supporto per SPNEGO, è consigliato utilizzare un'implementazione esterna fornita dalla libreria di sistema GSSAPI (disponibile in MIT Kerberos e Heimdal Kerberos).
Gli utenti delle versioni obsolete di BIND possono come soluzione temporanea per bloccare il problema disabilitare GSS-TSIG nelle impostazioni (parametri tkey-gssapi-keytab e tkey-gssapi-credential) oppure ricompilare BIND senza supporto per il meccanismo SPNEGO (opzione «—disable-isc-spnego» nello script «configure»). È possibile monitorare il rilascio di aggiornamenti nelle distribuzioni sulle seguenti pagine: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. I pacchetti RHEL e ALT Linux vengono compilati senza il supporto integrato di SPNEGO.
In aggiunta, nei suddetti aggiornamenti BIND sono state eliminate altre due vulnerabilità:
- CVE-2021-25215 — il crash del processo named durante l'elaborazione dei record DNAME (reindirizzando parte dei sottodomini), che provoca l'aggiunta di duplicati nella sezione ANSWER. Per sfruttare la vulnerabilità su server DNS autorevoli, è necessaria una modifica delle zone DNS elaborate, mentre per quelli ricorsivi server La registrazione problematica può essere ottenuta contattando un server autoritativo.
- CVE-2021-25214 – il crash del processo named durante l'elaborazione di una richiesta IXFR formattata appositamente (utilizzata per la trasmissione incrementale delle modifiche ai server DNS). Il problema riguarda solo i sistemi che hanno abilitato la trasmissione delle zone DNS dal server attaccante (di solito la trasmissione delle zone è utilizzata per sincronizzare server master e slave e viene autorizzata selettivamente solo per server fidati). Come misura di protezione alternativa, è possibile disabilitare il supporto IXFR tramite la configurazione "request-ixfr no;".
Fonte: opennet.ru
