रिमोट कोड कार्यान्वयन जोखिम समाधान गर्न BIND DNS सर्भर अपडेट गर्दै

BIND DNS सर्भर 9.11.31 र 9.16.15 को स्थिर शाखाहरू, साथै प्रयोगात्मक शाखा 9.17.12 को लागि सुधारात्मक अद्यावधिकहरू प्रकाशित गरिएको छ, जुन विकासमा छ। नयाँ रिलिजहरूले तीनवटा कमजोरीहरूलाई सम्बोधन गर्दछ, जसमध्ये एउटा (CVE-2021-25216) ले बफर ओभरफ्लो निम्त्याउँछ। 32-बिट प्रणालीहरूमा, विशेष रूपमा क्राफ्ट गरिएको GSS-TSIG अनुरोध पठाएर आक्रमणकर्ताको कोड टाढाबाट कार्यान्वयन गर्न जोखिमको शोषण गर्न सकिन्छ। 64 प्रणालीहरूमा समस्या नामित प्रक्रियाको क्र्यासमा सीमित छ।

Tkey-gssapi-keytab र tkey-gssapi-क्रेडेन्सियल सेटिङहरू प्रयोग गरेर GSS-TSIG मेकानिजम सक्षम पारिएपछि मात्र समस्या देखा पर्दछ। GSS-TSIG पूर्वनिर्धारित कन्फिगरेसनमा असक्षम गरिएको छ र सामान्यतया मिश्रित वातावरणमा प्रयोग गरिन्छ जहाँ BIND सक्रिय निर्देशिका डोमेन नियन्त्रकहरूसँग जोडिएको हुन्छ, वा साम्बासँग एकीकरण गर्दा।

ग्राहक र सर्भर द्वारा प्रयोग गरिएको सुरक्षा विधिहरू वार्ता गर्न GSSAPI मा प्रयोग गरिएको SPNEGO (सरल र सुरक्षित GSSAPI वार्ता संयन्त्र) को कार्यान्वयनमा त्रुटिको कारणले गर्दा जोखिम उत्पन्न भएको हो। GSSAPI लाई गतिशील DNS क्षेत्र अद्यावधिकहरू प्रमाणीकरण गर्ने प्रक्रियामा प्रयोग गरिएको GSS-TSIG विस्तार प्रयोग गरी सुरक्षित कुञ्जी आदानप्रदानको लागि उच्च-स्तरीय प्रोटोकलको रूपमा प्रयोग गरिन्छ।

SPNEGO को निर्मित कार्यान्वयनमा महत्वपूर्ण कमजोरीहरू पहिले फेला परेको हुनाले, BIND 9 कोड आधारबाट यस प्रोटोकलको कार्यान्वयन हटाइएको छ। SPNEGO समर्थन चाहिने प्रयोगकर्ताहरूका लागि, GSSAPI द्वारा प्रदान गरिएको बाह्य कार्यान्वयन प्रयोग गर्न सिफारिस गरिन्छ। प्रणाली पुस्तकालय (MIT Kerberos र Heimdal Kerberos मा प्रदान गरिएको)।

BIND को पुरानो संस्करणका प्रयोगकर्ताहरूले, समस्यालाई रोक्नको लागि समाधानको रूपमा, GSS-TSIG लाई सेटिङहरूमा असक्षम गर्न सक्छन् (विकल्पहरू tkey-gssapi-keytab र tkey-gssapi-credential) वा SPNEGO मेकानिजमको समर्थन बिना BIND पुन: निर्माण गर्न सक्छन् (विकल्प "- -disable-isc-spnego" स्क्रिप्ट "कन्फिगर" मा)। तपाईंले निम्न पृष्ठहरूमा वितरणमा अद्यावधिकहरूको उपलब्धता ट्र्याक गर्न सक्नुहुन्छ: डेबियन, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD। RHEL र ALT Linux प्याकेजहरू नेटिभ SPNEGO समर्थन बिना निर्माण गरिएका छन्।

थप रूपमा, प्रश्नमा BIND अद्यावधिकहरूमा दुई थप कमजोरीहरू निश्चित छन्:

• CVE-2021-25215 — DNAME रेकर्डहरू प्रशोधन गर्दा नामित प्रक्रिया क्र्यास भयो (सबडोमेनहरूको भागको पुन: निर्देशित प्रशोधन), जसले उत्तर खण्डमा डुप्लिकेटहरू थप्न जान्छ। आधिकारिक DNS सर्भरहरूमा जोखिमको शोषण गर्न प्रशोधित DNS क्षेत्रहरूमा परिवर्तनहरू गर्न आवश्यक छ, र पुनरावर्ती सर्भरहरूको लागि, आधिकारिक सर्भरलाई सम्पर्क गरेपछि समस्याग्रस्त रेकर्ड प्राप्त गर्न सकिन्छ।
• CVE-2021-25214 - विशेष रूपमा क्राफ्ट गरिएको इनकमिङ IXFR अनुरोध (DNS सर्भरहरू बीच DNS जोनहरूमा बढ्दो रूपमा परिवर्तनहरू स्थानान्तरण गर्न प्रयोग गरिन्छ) प्रशोधन गर्दा नामित प्रक्रिया क्र्यास हुन्छ। समस्याले आक्रमणकर्ताको सर्भरबाट DNS क्षेत्र स्थानान्तरण गर्न अनुमति दिएको प्रणालीहरूलाई मात्र असर गर्छ (सामान्यतया जोन स्थानान्तरणहरू मास्टर र दास सर्भरहरू सिङ्क्रोनाइज गर्न प्रयोग गरिन्छ र विश्वसनीय सर्भरहरूको लागि मात्र चयन गरिएको छ)। सुरक्षा उपायको रूपमा, तपाईंले "request-ixfr no;" सेटिङ प्रयोग गरेर IXFR समर्थन असक्षम गर्न सक्नुहुन्छ।

स्रोत: opennet.ru