ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਕਮਜ਼ੋਰੀ ਨੂੰ ਠੀਕ ਕਰਨ ਲਈ BIND DNS ਸਰਵਰ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨਾ

BIND DNS ਸਰਵਰ 9.11.31 ਅਤੇ 9.16.15 ਦੀਆਂ ਸਥਿਰ ਸ਼ਾਖਾਵਾਂ ਦੇ ਨਾਲ-ਨਾਲ ਪ੍ਰਯੋਗਾਤਮਕ ਸ਼ਾਖਾ 9.17.12, ਜੋ ਕਿ ਵਿਕਾਸ ਵਿੱਚ ਹੈ, ਲਈ ਸੁਧਾਰਾਤਮਕ ਅੱਪਡੇਟ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੇ ਗਏ ਹਨ। ਨਵੀਆਂ ਰੀਲੀਜ਼ਾਂ ਤਿੰਨ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਸੰਬੋਧਿਤ ਕਰਦੀਆਂ ਹਨ, ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ ਇੱਕ (CVE-2021-25216) ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ ਦਾ ਕਾਰਨ ਬਣਦੀ ਹੈ। 32-ਬਿੱਟ ਸਿਸਟਮਾਂ 'ਤੇ, ਖਾਸ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੀ GSS-TSIG ਬੇਨਤੀ ਭੇਜ ਕੇ ਕਿਸੇ ਹਮਲਾਵਰ ਦੇ ਕੋਡ ਨੂੰ ਰਿਮੋਟਲੀ ਚਲਾਉਣ ਲਈ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। 64 ਸਿਸਟਮਾਂ 'ਤੇ ਸਮੱਸਿਆ ਨਾਮੀ ਪ੍ਰਕਿਰਿਆ ਦੇ ਕਰੈਸ਼ ਤੱਕ ਸੀਮਿਤ ਹੈ।

ਸਮੱਸਿਆ ਉਦੋਂ ਹੀ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ ਜਦੋਂ GSS-TSIG ਵਿਧੀ ਯੋਗ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, tkey-gssapi-keytab ਅਤੇ tkey-gssapi-credential ਸੈਟਿੰਗਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕਿਰਿਆਸ਼ੀਲ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। GSS-TSIG ਡਿਫਾਲਟ ਸੰਰਚਨਾ ਵਿੱਚ ਅਯੋਗ ਹੈ ਅਤੇ ਆਮ ਤੌਰ 'ਤੇ ਮਿਸ਼ਰਤ ਵਾਤਾਵਰਣ ਵਿੱਚ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ ਜਿੱਥੇ BIND ਨੂੰ ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਡੋਮੇਨ ਕੰਟਰੋਲਰਾਂ ਨਾਲ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ, ਜਾਂ ਜਦੋਂ ਸਾਂਬਾ ਨਾਲ ਏਕੀਕ੍ਰਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਕਮਜ਼ੋਰੀ SPNEGO (ਸਧਾਰਨ ਅਤੇ ਸੁਰੱਖਿਅਤ GSSAPI ਨੈਗੋਸ਼ੀਏਸ਼ਨ ਮਕੈਨਿਜ਼ਮ) ਵਿਧੀ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਇੱਕ ਤਰੁੱਟੀ ਕਾਰਨ ਹੁੰਦੀ ਹੈ, ਜੋ GSSAPI ਵਿੱਚ ਕਲਾਇੰਟ ਅਤੇ ਸਰਵਰ ਦੁਆਰਾ ਵਰਤੇ ਜਾਂਦੇ ਸੁਰੱਖਿਆ ਤਰੀਕਿਆਂ ਨਾਲ ਗੱਲਬਾਤ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਹੈ। GSSAPI ਦੀ ਵਰਤੋਂ ਗਤੀਸ਼ੀਲ DNS ਜ਼ੋਨ ਅਪਡੇਟਾਂ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਵਰਤੀ ਗਈ GSS-TSIG ਐਕਸਟੈਂਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਸੁਰੱਖਿਅਤ ਕੁੰਜੀ ਐਕਸਚੇਂਜ ਲਈ ਇੱਕ ਉੱਚ-ਪੱਧਰੀ ਪ੍ਰੋਟੋਕੋਲ ਵਜੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

ਕਿਉਂਕਿ SPNEGO ਦੇ ਬਿਲਟ-ਇਨ ਲਾਗੂਕਰਨ ਵਿੱਚ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀਆਂ ਪਹਿਲਾਂ ਪਾਈਆਂ ਗਈਆਂ ਹਨ, ਇਸ ਪ੍ਰੋਟੋਕੋਲ ਦੇ ਲਾਗੂਕਰਨ ਨੂੰ BIND 9 ਕੋਡ ਬੇਸ ਤੋਂ ਹਟਾ ਦਿੱਤਾ ਗਿਆ ਹੈ। ਉਹਨਾਂ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਜਿਨ੍ਹਾਂ ਨੂੰ SPNEGO ਸਮਰਥਨ ਦੀ ਲੋੜ ਹੈ, GSSAPI ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤੇ ਗਏ ਇੱਕ ਬਾਹਰੀ ਲਾਗੂਕਰਨ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਸਿਸਟਮ ਲਾਇਬ੍ਰੇਰੀ (MIT Kerberos ਅਤੇ Heimdal Kerberos ਵਿੱਚ ਪ੍ਰਦਾਨ ਕੀਤੀ ਗਈ)।

BIND ਦੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਦੇ ਉਪਭੋਗਤਾ, ਸਮੱਸਿਆ ਨੂੰ ਰੋਕਣ ਲਈ ਇੱਕ ਹੱਲ ਵਜੋਂ, ਸੈਟਿੰਗਾਂ ਵਿੱਚ GSS-TSIG ਨੂੰ ਅਸਮਰੱਥ ਬਣਾ ਸਕਦੇ ਹਨ (ਵਿਕਲਪ tkey-gssapi-keytab ਅਤੇ tkey-gssapi-credential) ਜਾਂ SPNEGO ਵਿਧੀ (ਵਿਕਲਪ "- ਲਈ ਸਮਰਥਨ ਤੋਂ ਬਿਨਾਂ BIND ਨੂੰ ਦੁਬਾਰਾ ਬਣਾ ਸਕਦੇ ਹਨ। -ਅਯੋਗ-isc-spnego" ਲਿਪੀ ਵਿੱਚ "ਸੰਰਚਨਾ"). ਤੁਸੀਂ ਹੇਠਾਂ ਦਿੱਤੇ ਪੰਨਿਆਂ 'ਤੇ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ ਵਿੱਚ ਅੱਪਡੇਟ ਦੀ ਉਪਲਬਧਤਾ ਨੂੰ ਟਰੈਕ ਕਰ ਸਕਦੇ ਹੋ: ਡੇਬੀਅਨ, ਸੂਸੇ, ਉਬੰਟੂ, ਫੇਡੋਰਾ, ਆਰਚ ਲੀਨਕਸ, ਫ੍ਰੀਬੀਐਸਡੀ, ਨੈੱਟਬੀਐਸਡੀ। RHEL ਅਤੇ ALT Linux ਪੈਕੇਜ ਮੂਲ SPNEGO ਸਹਾਇਤਾ ਤੋਂ ਬਿਨਾਂ ਬਣਾਏ ਗਏ ਹਨ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਸਵਾਲ ਵਿੱਚ BIND ਅੱਪਡੇਟ ਵਿੱਚ ਦੋ ਹੋਰ ਕਮਜ਼ੋਰੀਆਂ ਹੱਲ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ:

• CVE-2021-25215 — DNAME ਰਿਕਾਰਡਾਂ (ਸਬਡੋਮੇਨਾਂ ਦੇ ਹਿੱਸੇ ਦੀ ਰੀਡਾਇਰੈਕਟ ਪ੍ਰੋਸੈਸਿੰਗ) ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ ਨਾਮਿਤ ਪ੍ਰਕਿਰਿਆ ਕ੍ਰੈਸ਼ ਹੋ ਗਈ, ਜਿਸ ਨਾਲ ਜਵਾਬ ਭਾਗ ਵਿੱਚ ਡੁਪਲੀਕੇਟ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ। ਅਧਿਕਾਰਤ DNS ਸਰਵਰਾਂ 'ਤੇ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਲਈ ਪ੍ਰੋਸੈਸ ਕੀਤੇ ਗਏ DNS ਜ਼ੋਨਾਂ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਆਵਰਤੀ ਸਰਵਰਾਂ ਲਈ, ਅਧਿਕਾਰਤ ਸਰਵਰ ਨਾਲ ਸੰਪਰਕ ਕਰਨ ਤੋਂ ਬਾਅਦ ਸਮੱਸਿਆ ਵਾਲਾ ਰਿਕਾਰਡ ਪ੍ਰਾਪਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।
• CVE-2021-25214 - ਇੱਕ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੀ ਇਨਕਮਿੰਗ IXFR ਬੇਨਤੀ (DNS ਸਰਵਰਾਂ ਦੇ ਵਿਚਕਾਰ DNS ਜ਼ੋਨਾਂ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਨੂੰ ਵਧਾਉਣ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ) ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ ਨਾਮਿਤ ਪ੍ਰਕਿਰਿਆ ਕ੍ਰੈਸ਼ ਹੋ ਜਾਂਦੀ ਹੈ। ਸਮੱਸਿਆ ਸਿਰਫ ਉਹਨਾਂ ਸਿਸਟਮਾਂ ਨੂੰ ਪ੍ਰਭਾਵਤ ਕਰਦੀ ਹੈ ਜਿਨ੍ਹਾਂ ਨੇ ਹਮਲਾਵਰ ਦੇ ਸਰਵਰ ਤੋਂ DNS ਜ਼ੋਨ ਟ੍ਰਾਂਸਫਰ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਹੈ (ਆਮ ਤੌਰ 'ਤੇ ਜ਼ੋਨ ਟ੍ਰਾਂਸਫਰ ਮਾਸਟਰ ਅਤੇ ਸਲੇਵ ਸਰਵਰਾਂ ਨੂੰ ਸਮਕਾਲੀ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਸਿਰਫ਼ ਭਰੋਸੇਯੋਗ ਸਰਵਰਾਂ ਲਈ ਚੋਣਵੇਂ ਤੌਰ 'ਤੇ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ)। ਇੱਕ ਸੁਰੱਖਿਆ ਹੱਲ ਵਜੋਂ, ਤੁਸੀਂ "request-ixfr no;" ਸੈਟਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਕੇ IXFR ਸਹਾਇਤਾ ਨੂੰ ਅਯੋਗ ਕਰ ਸਕਦੇ ਹੋ।

ਸਰੋਤ: opennet.ru