Boli zverejnené opravy pre stabilné vetvy DNS servera BIND 9.11.31 a 9.16.15, ako aj pre experimentálnu vetvu 9.17.12, ktorá je ešte v vývoji. V nových verziách boli odstránené tri zraniteľnosti, z ktorých jedna (CVE-2021-25216) vedie k pretečeniu vyrovnávacej pamäte. Na 32-bitových systémoch môže byť zraniteľnosť zneužitá na vzdialené vykonávanie kódu útočníkom prostredníctvom špeciálne formátovanej žiadosti GSS-TSIG. Na 64-bitových systémoch je problém obmedzený na pád procesu named.
Problém sa prejavuje iba pri aktivovaní mechanizmu GSS-TSIG, ktorý sa aktivuje pomocou nastavení tkey-gssapi-keytab a tkey-gssapi-credential. GSS-TSIG je v predvolenej konfigurácii vypnutý a obvykle sa používa v zmiešaných prostrediach, kde sa BIND kombinuje s ovládacími prvkami domény Active Directory, alebo pri integrácii so Samba.
Zraniteľnosť je spôsobená chybou v implementácii mechanizmu SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), ktorý sa používa v GSSAPI na dohodu o použitých metódach zabezpečenia. GSSAPI sa používa ako vysokohladinový protokol na bezpečnú výmenu kľúčov pomocou rozšírenia GSS-TSIG, ktoré sa používa v procese overenia autenticity dynamických aktualizácií DNS zón. serverom Keďže kritické zraniteľnosti vo vstavaných implementáciách SPNEGO boli nájdené aj skôr, implementácia tohto protokolu bola odstránená z kódovej základne BIND 9. Pre používateľov, ktorí potrebujú podporu SPNEGO, sa odporúča používať externú implementáciu poskytovanú systémovou knižnicou GSSAPI (poskytovaná v MIT Kerberos a Heimdal Kerberos).
Používatelia starších verzií BIND ako obchádzkový spôsob blokovania problému môžu vypnúť GSS-TSIG v nastaveniach (parametre tkey-gssapi-keytab a tkey-gssapi-credential) alebo prekompilovať BIND bez podpory mechanizmu SPNEGO (možnosť „--disable-isc-spnego“ v skripte „configure“). Aktualizácie v distribúciách je možné sledovať na stránkach: Debian, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD. Balíky RHEL a ALT Linux sa zostavujú bez zabudovanej podpory SPNEGO.
Dodatočne v zvažovaných aktualizáciách BIND boli odstránené ešte dve zraniteľnosti:
Dodatočne v zvažovaných aktualizáciách BIND boli odstránené ešte dve zraniteľnosti:
- CVE-2021-25215 — pád procesu named pri spracovaní záznamov DNAME (presmerovanie spracovania časti subdomén), ktoré vedie k pridávanie duplicit do sekcie ANSWER. Na zneužitie zraniteľnosti na autoritatívnych DNS serveroch sú potrebné zmeny v spracovávaných DNS zónach, a pre rekurzívne serverov problémový záznam môže byť získaný po oslovení autoritatívneho servera.
- CVE-2021-25214 — pád procesu named pri spracovaní špeciálne formátovaného prichádzajúceho požiadavku IXFR (používa sa na inkrementálny prenos medzi DNS servermi zmien v zónach DNS). Problém sa týka iba systémov, ktoré povolili prenos zón DNS z napadajúceho servera (zvyčajne sa prenos zón používa na synchronizáciu master a slave serverov a selektívne sa povoľuje iba pre dôveryhodné servery). Ako obchádzajúce riešenie ochrany môžete zakázať podporu IXFR pomocou nastavenia „request-ixfr no;“
Zdroj: opennet.ru
