Boli zverejnené opravné aktualizácie stabilných vetiev DNS servera BIND 9.11.28 a 9.16.12, ako aj experimentálnej vetvy 9.17.10, ktorá je v vývoji. V nových vydaniach bola odstránená zraniteľnosť (CVE-2020-8625), ktorá vedie k pretečeniu pamäte a potenciálne umožňuje vzdialené vykonanie kódu útočníkom. Neboli zistené žiadne dôkazy o činných exploitácii.
Problém je spôsobený chybou v implementácii mechanizmu SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), ktorý sa používa v GSSAPI na dohodu o použitých klientom a serverom Keďže kritické zraniteľnosti vo vstavaných implementáciách SPNEGO boli nájdené aj skôr, implementácia tohto protokolu bola odstránená z kódovej základne BIND 9. Pre používateľov, ktorí potrebujú podporu SPNEGO, sa odporúča používať externú implementáciu poskytovanú systémovou knižnicou GSSAPI (poskytovaná v MIT Kerberos a Heimdal Kerberos).
Zraniteľnosť ovplyvňuje systémy, v ktorých je v nastaveniach povolené používanie GSS-TSIG (napríklad ak sú použité nastavenia tkey-gssapi-keytab a tkey-gssapi-credential). GSS-TSIG sa zvyčajne používa v zmiešaných prostrediach, kde BIND spolupracuje s riadiacimi domény Active Directory, alebo pri integrácii so Samba. V predvolenom nastavení je GSS-TSIG vypnutý.
Obchádzajúci spôsob, ako zablokovať problém bez vypnutia GSS-TSIG, sa nazýva zostavenie BIND bez podpory mechanizmu SPNEGO, ktorý sa dá deaktivovať príkazom pri spustení skriptu "configure" s voľbou "—disable-isc-spnego". V distribúciách zatiaľ problém ostáva neopraviteľný. Pre sledovanie aktualizácií môžete navštíviť nasledujúce stránky: Debian, RHEL, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD.
Zdroj: opennet.ru
