Correctieve updates zijn gepubliceerd voor de stabiele versies van de DNS-server BIND 9.11.28 en 9.16.12, evenals de experimentele versie 9.17.10 die zich in ontwikkeling bevindt. In de nieuwe releases is een kwetsbaarheid (CVE-2020-8625) opgelost die kan leiden tot een buffer overflow en mogelijk tot het op afstand uitvoeren van code door kwaadwillenden. Tot nu toe zijn er geen aanwijzingen voor werkende exploits gevonden.
Het probleem wordt veroorzaakt door een fout in de implementatie van het SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), dat wordt gebruikt in de GSSAPI voor de onderhandeling over de gebruikte client- en servermechanismen. server GSSAPI wordt gebruikt als een hoogwaardig protocol voor veilige sleuteluitwisseling met behulp van de GSS-TSIG-extensie, die wordt gebruikt in het authenticatieproces van dynamische updates voor DNS-zones.
De kwetsbaarheid raakt systemen waarop het gebruik van GSS-TSIG is ingeschakeld (bijvoorbeeld als de instellingen tkey-gssapi-keytab en tkey-gssapi-credential worden gebruikt). GSS-TSIG wordt doorgaans toegepast in gemengde omgevingen, waarin BIND wordt gecombineerd met controllers. domein Active Directory, of bij integratie met Samba. In de standaardconfiguratie is GSS-TSIG uitgeschakeld.
Als workaround om het probleem te blokkeren zonder GSS-TSIG uit te schakelen, wordt een BIND-bouw zonder ondersteuning voor het SPNEGO-mechanisme genoemd, dat kan worden uitgeschakeld door tijdens het starten van het script 'configure' de optie '--disable-isc-spnego' op te geven. In de distributies blijft het probleem momenteel ongefixeerd. Updates kunnen worden gevolgd op de volgende pagina's: Debian, RHEL, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD.
Bron: opennet.ru
