Corrigerende updates zijn uitgebracht voor de stabiele takken van de DNS-server BIND 9.11.31 en 9.16.15, evenals voor de ontwikkelingsversie van 9.17.12. In de nieuwe releases zijn er drie kwetsbaarheden verholpen, waarvan er één (CVE-2021-25216) leidt tot een buffer-overflow. Op 32-bits systemen kan de kwetsbaarheid worden misbruikt voor het op afstand uitvoeren van kwaadaardige code door het verzenden van een zorgvuldig opgemaakt GSS-TSIG-verzoek. Op 64-bits systemen beperkt het probleem zich tot het crashen van het named-proces.
Het probleem doet zich alleen voor wanneer de GSS-TSIG-mechanisme is ingeschakeld, wat wordt geactiveerd via de instellingen tkey-gssapi-keytab en tkey-gssapi-credential. GSS-TSIG is uitgeschakeld in de standaardconfiguratie en wordt meestal gebruikt in hybride omgevingen waar BIND wordt gecombineerd met Active Directory-domeincontrollers of bij integratie met Samba.
De kwetsbaarheid wordt veroorzaakt door een fout in de implementatie van het SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), dat wordt gebruikt in GSSAPI voor het afstemmen van de gebruikte beveiligingsmethoden door de client. server GSSAPI wordt gebruikt als een hoogwaardig protocol voor veilige sleuteluitwisseling met behulp van de GSS-TSIG-extensie, die wordt gebruikt in het authenticatieproces van dynamische updates voor DNS-zones.
Aangezien kritieke kwetsbaarheden in de ingebouwde SPNEGO-implementatie eerder zijn ontdekt, is de implementatie van dit protocol uit de codebasis van BIND 9 verwijderd. Voor gebruikers die ondersteuning voor SPNEGO nodig hebben, wordt aangeraden een externe implementatie te gebruiken die wordt geleverd door de systeembibliotheek GSSAPI (beschikbaar in MIT Kerberos en Heimdal Kerberos).
Gebruikers van oudere versies van BIND kunnen als workaround het probleem blokkeren door GSS-TSIG in de instellingen uit te schakelen (de parameters tkey-gssapi-keytab en tkey-gssapi-credential) of BIND opnieuw te bouwen zonder ondersteuning voor het SPNEGO-mechanisme (de optie '--disable-isc-spnego' in het configure-script). Het is mogelijk om updates in de distributies te volgen op de pagina's: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. RHEL- en ALT Linux-pakketten worden gebouwd zonder ingebouwde ondersteuning voor SPNEGO.
Daarnaast zijn er in de besproken updates van BIND nog twee andere kwetsbaarheden verholpen:
- CVE-2021-25215 — crash van het named-proces bij het verwerken van DNAME-records (doorverwijzing van bepaalde subdomeinen), wat leidt tot het toevoegen van duplicaten aan de ANSWER-sectie. Voor het misbruik van deze kwetsbaarheid op autoritatieve DNS-servers zijn wijzigingen in de verwerkte DNS-zones vereist, en voor recursieve servers kan het probleemrecord worden verkregen na een aanvraag bij de autoritatieve server.
- CVE-2021-25214 — crash van het named-proces bij het verwerken van een speciaal opgemaakt inkomend IXFR-verzoek (gebruikt voor incrementele overdracht tussen DNS-servers van wijzigingen in DNS-zones). Alleen systemen die zoneoverdracht vanuit de aanvallende server hebben toegestaan, zijn kwetsbaar (gewoonlijk wordt zoneoverdracht gebruikt voor synchronisatie tussen master- en slave-servers en wordt selectief toegestaan voor vertrouwde servers). Als een omzeiling van bescherming kan de ondersteuning van IXFR worden uitgeschakeld met de configuratie 'request-ixfr no;'.
Bron: opennet.ru
