Sårbarhet i DNS-server BIND som inte utesluter fjärrkörning av kod

Korrigerande uppdateringar har publicerats för stabila versioner av DNS-servern BIND 9.11.28 och 9.16.12, samt för den experimentella utvecklingsversionen 9.17.10. I de nya utgåvorna har en sårbarhet (CVE-2020-8625) åtgärdats, vilket kan leda till buffertöverflöde och potentiellt möjliggöra fjärrkodkörning av en angripare. Inga bevis på fungerande exploits har hittills upptäckts.

Problemet orsakas av ett fel i implementeringen av SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism), som används i GSSAPI för att samordna de protokoll som används av klienten och servern GSSAPI används som ett högre protokoll för säker nyckelutbyte med hjälp av GSS-TSIG-tillägget som används vid autentisering av dynamiska DNS-zonsuppdateringar.

Sårbarheten påverkar system där användningen av GSS-TSIG aktiveras (till exempel om tkey-gssapi-keytab och tkey-gssapi-credential används). GSS-TSIG används ofta i miljöer där BIND kombineras med kontrollerare domän Active Directory, eller vid integration med Samba. Som standard är GSS-TSIG avstängt.

Ett workaround för att blockera problemet, som inte kräver att GSS-TSIG inaktiveras, är att bygga BIND utan stöd för SPNEGO-mekanismen, vilket kan inaktiveras genom att ange alternativet "—disable-isc-spnego" vid körning av konfigurationsskriptet. Problemet kvarstår olöst i distributionerna. Du kan följa uppdateringar på följande sidor: Debian, RHEL, SUSE, Ubuntu, Fedora, Arch Linux, FreeBSD, NetBSD.

Källa: opennet.ru