Foram publicadas atualizações corretivas para as versões estáveis do servidor DNS BIND 9.11.31 e 9.16.15, assim como para a versão experimental em desenvolvimento 9.17.12. As novas versões corrigem três vulnerabilidades, uma das quais (CVE-2021-25216) pode levar a um estouro de buffer. Em sistemas de 32 bits, a vulnerabilidade pode ser explorada para execução de código remoto por um invasor através do envio de uma solicitação GSS-TSIG especialmente formatada. Em sistemas de 64 bits, o problema se limita a falhas do processo named.
O problema ocorre apenas quando o mecanismo GSS-TSIG é ativado através das configurações tkey-gssapi-keytab e tkey-gssapi-credential. O GSS-TSIG está desativado na configuração padrão e é geralmente utilizado em ambientes mistos, onde o BIND é combinado com controladores de domínio do Active Directory, ou durante a integração com o Samba.
A vulnerabilidade é causada por um erro na implementação do mecanismo SPNEGO (Mecanismo de Negociação Simples e Protegido GSSAPI), utilizado no GSSAPI para negociar os métodos de proteção entre o cliente e o servidor. servidor O GSSAPI é utilizado como um protocolo de alto nível para troca segura de chaves através da extensão GSS-TSIG, empregada durante a autenticação de atualizações dinâmicas de zonas DNS.
Uma vez que vulnerabilidades críticas na implementação interna do SPNEGO foram identificadas anteriormente, a implementação deste protocolo foi removida da base de código do BIND 9. Para usuários que necessitam de suporte ao SPNEGO, é recomendado utilizar uma implementação externa fornecida pela biblioteca de sistema GSSAPI (disponível no MIT Kerberos e Heimdal Kerberos).
Usuários de versões antigas do BIND, como uma solução alternativa para bloquear o problema, podem desativar o GSS-TSIG nas configurações (parâmetros tkey-gssapi-keytab e tkey-gssapi-credential) ou recompilar o BIND sem suporte ao mecanismo SPNEGO (opção "—disable-isc-spnego" no script "configure"). É possível acompanhar o surgimento de atualizações nas distribuições nas páginas: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. Os pacotes RHEL e ALT Linux são compilados sem suporte interno ao SPNEGO.
Além disso, nas atualizações em questão, o BIND corrige mais duas vulnerabilidades:
- CVE-2021-25215 — falha no processo named ao processar registros DNAME (redirecionamento do processamento de parte dos subdomínios), levando à adição de duplicatas na seção ANSWER. Para explorar a vulnerabilidade em servidores DNS autoritativos, é necessário fazer alterações nas zonas DNS processadas, e para servidores recursivos servidores o registro problemático pode ser obtido após a consulta ao servidor autoritativo.
- CVE-2021-25214 — falha no processo named ao processar uma solicitação IXFR especialmente formatada (usada para transferência incremental entre servidores DNS das mudanças nas zonas DNS). O problema afeta apenas sistemas que permitiram a transferência de zonas DNS do servidor atacante (geralmente, a transferência de zonas é usada para sincronização entre servidores master e slave e é frequentemente permitida apenas para servidores de confiança). Uma solução alternativa de proteção pode ser desativar o suporte ao IXFR com a configuração 'request-ixfr no;'.
Fonte: opennet.ru
