{"id":100059,"date":"2021-04-29T10:22:42","date_gmt":"2021-04-29T08:22:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-dns-servera-bind-c-ustraneniem-uyazvimosti-dopuskayushhej-udalyonnoe-vypolnenie-koda"},"modified":"2021-04-29T10:22:42","modified_gmt":"2021-04-29T08:22:42","slug":"obnovlenie-dns-servera-bind-c-ustraneniem-uyazvimosti-dopuskayushhej-udalyonnoe-vypolnenie-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/obnovlenie-dns-servera-bind-c-ustraneniem-uyazvimosti-dopuskayushhej-udalyonnoe-vypolnenie-koda","title":{"rendered":"DNS-server BIND-update ter verhelpen van een kwetsbaarheid die externe uitvoering van code toelaat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Corrigerende updates zijn uitgebracht voor de stabiele takken van de DNS-server BIND 9.11.31 en 9.16.15, evenals voor de ontwikkelingsversie van 9.17.12. In de nieuwe releases zijn er drie kwetsbaarheden verholpen, waarvan er \u00e9\u00e9n (CVE-2021-25216) leidt tot een buffer-overflow. Op 32-bits systemen kan de kwetsbaarheid worden misbruikt voor het op afstand uitvoeren van kwaadaardige code door het verzenden van een zorgvuldig opgemaakt GSS-TSIG-verzoek. Op 64-bits systemen beperkt het probleem zich tot het crashen van het named-proces. <\/p>\n

Het probleem doet zich alleen voor wanneer de GSS-TSIG-mechanisme is ingeschakeld, wat wordt geactiveerd via de instellingen tkey-gssapi-keytab en tkey-gssapi-credential. GSS-TSIG is uitgeschakeld in de standaardconfiguratie en wordt meestal gebruikt in hybride omgevingen waar BIND wordt gecombineerd met Active Directory-domeincontrollers of bij integratie met Samba. <\/p>\n

De kwetsbaarheid wordt veroorzaakt door een fout in de implementatie van het SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), dat wordt gebruikt in GSSAPI voor het afstemmen van de gebruikte beveiligingsmethoden door de client. server<\/a> GSSAPI wordt gebruikt als een hoogwaardig protocol voor veilige sleuteluitwisseling met behulp van de GSS-TSIG-extensie, die wordt gebruikt in het authenticatieproces van dynamische updates voor DNS-zones. <\/p>\n

Aangezien kritieke kwetsbaarheden in de ingebouwde SPNEGO-implementatie eerder zijn ontdekt, is de implementatie van dit protocol uit de codebasis van BIND 9 verwijderd. Voor gebruikers die ondersteuning voor SPNEGO nodig hebben, wordt aangeraden een externe implementatie te gebruiken die wordt geleverd door de systeembibliotheek GSSAPI (beschikbaar in MIT Kerberos en Heimdal Kerberos). <\/p>\n

Gebruikers van oudere versies van BIND kunnen als een workaround voor het blokkeren van problemen GSS-TSIG uitschakelen in de instellingen (parameters tkey-gssapi-keytab en tkey-gssapi-credential) of BIND herbouwen zonder ondersteuning voor het SPNEGO-mechanisme (optie «—disable-isc-spnego» in het script «configure»). Updates in distributies kunnen worden gevolgd op de pagina's: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. RHEL- en ALT Linux-pakketten worden zonder ingebouwde ondersteuning voor SPNEGO samengesteld. <\/p>\n

Daarnaast zijn er in de besproken updates van BIND nog twee andere kwetsbaarheden verholpen: <\/p>\n