Pubblicati aggiornamenti correttivi per i rami stabili del server DNS BIND 9.11.28 e 9.16.12, oltre a un ramo sperimentale in fase di sviluppo 9.17.10. Nei nuovi rilasci è stata rimossa una vulnerabilità (CVE-2020-8625) che porta a un overflow del buffer e potenzialmente in grado di consentire l'esecuzione remota di codice da parte di un attaccante. Non sono ancora stati riscontrati exploit funzionanti.
Il problema è causato da un errore nell'implementazione del meccanismo SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), utilizzato in GSSAPI per la negoziazione dei metodi utilizzati dal client e server metodi di protezione. GSSAPI viene utilizzato come protocollo di alto livello per lo scambio sicuro di chiavi tramite l'estensione GSS-TSIG, utilizzata nel processo di autenticazione degli aggiornamenti dinamici delle zone DNS.
La vulnerabilità riguarda i sistemi in cui è abilitato l'uso di GSS-TSIG (ad esempio, se sono utilizzate le impostazioni tkey-gssapi-keytab e tkey-gssapi-credential). GSS-TSIG è solitamente utilizzato in ambienti misti, in cui BIND si combina con controller di dominio Active Directory o durante l'integrazione con Samba. Nella configurazione predefinita, GSS-TSIG è disabilitato.
Come soluzione alternativa per bloccare il problema, senza dover disabilitare GSS-TSIG, è possibile compilare BIND senza supporto per il meccanismo SPNEGO, che può essere disabilitato specificando l'opzione «—disable-isc-spnego» durante l'esecuzione dello script «configure». Nei pacchetti, il problema rimane ancora irrisolto. Puoi seguire l'uscita di aggiornamenti nelle seguenti pagine: Debian, RHEL, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD.
Fonte: opennet.ru
