Atualizações corretivas para as ramificações estáveis do servidor DNS BIND 9.11.28 e 9.16.12 foram publicadas, assim como a ramificação experimental em desenvolvimento 9.17.10. As novas versões corrigem uma vulnerabilidade (CVE-2020-8625) que pode levar a um estouro de buffer e potencialmente permitir a execução remota de código por um invasor. Até o momento, não foram encontrados indícios de exploits funcionais.
O problema é causado por um erro na implementação do mecanismo SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), utilizado no GSSAPI para a negociação entre o cliente e o servidor. servidor O GSSAPI é utilizado como um protocolo de alto nível para troca segura de chaves através da extensão GSS-TSIG, empregada durante a autenticação de atualizações dinâmicas de zonas DNS.
A vulnerabilidade afeta sistemas cujas configurações incluem o uso de GSS-TSIG (por exemplo, se as configurações tkey-gssapi-keytab e tkey-gssapi-credential estiverem habilitadas). O GSS-TSIG é geralmente utilizado em ambientes híbridos, onde o BIND é combinado com controladores. de domínio Active Directory, ou na integração com o Samba. Na configuração padrão, o GSS-TSIG está desativado.
Como uma solução alternativa para bloquear o problema, que não requer desativação do GSS-TSIG, é mencionada a compilação do BIND sem suporte ao mecanismo SPNEGO, que pode ser desabilitado ao especificar a opção "--disable-isc-spnego" durante a execução do script de configuração. Nos distribuições, o problema ainda não foi corrigido. Para acompanhar o lançamento de atualizações, você pode visitar as seguintes páginas: Debian, RHEL, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD.
Fonte: opennet.ru
