[[399034]]

BIND(Berkeley Internet Name Daemon)是現(xiàn)今互聯(lián)網(wǎng)上最常使用的DNS服務(wù)器軟件，使用BIND作為服務(wù)器軟件的DNS服務(wù)器約占所有DNS服務(wù)器的九成。BIND現(xiàn)在由互聯(lián)網(wǎng)系統(tǒng)協(xié)會(huì)(Internet Systems Consortium，ISC)負(fù)責(zé)開發(fā)與維護(hù)。

近日，ISC發(fā)布安全公告，督促用戶更新DNS服務(wù)器來修復(fù)BIND漏洞。

第一個(gè)漏洞CVE編號(hào)為CVE-2021-25216，32位版本的CVSS評(píng)分為8.1分，64位版本的CVSS 評(píng)分為7.4分。攻擊者可以通過執(zhí)行針對(duì)BIND GSSAPI安全策略協(xié)商機(jī)制的緩沖區(qū)溢出攻擊來遠(yuǎn)程觸發(fā)該漏洞，引發(fā)包括系統(tǒng)奔潰和遠(yuǎn)程代碼執(zhí)行等漏洞利用。

但是，在使用默認(rèn)BIND配置情況下，有漏洞的代碼路徑并不會(huì)暴露，除非服務(wù)器的值(tkey-gssapi-keytab/tkey-gssapi-credential)也被設(shè)置了。雖然默認(rèn)配置沒有漏洞，但GSS-TSIG 常常用于BIND集成的Samba以及融合了BIND服務(wù)器和活動(dòng)目錄域控制器的混合服務(wù)器環(huán)境中。對(duì)滿足這些條件的服務(wù)器，根據(jù)CPU架構(gòu)的不同，ISC SPNEGO實(shí)現(xiàn)會(huì)面臨不同類型的攻擊。

第二個(gè)漏洞CVE編號(hào)為CVE-2021-25215，CVSS評(píng)分為7.5分，是DNAME記錄處理中的遠(yuǎn)程利用漏洞，可能會(huì)引發(fā)進(jìn)程奔潰。

第三個(gè)漏洞CVE編號(hào)為CVE-2021-25214，CVSS評(píng)分6.5分。是incremental zone transfers (IXFR，增量區(qū)域傳輸)中的安全漏洞，如果named server接收到偽造的IXFR，就會(huì)引發(fā)命名進(jìn)程奔潰。

BIND中的漏洞影響還是非常大的，成功利用后可能會(huì)引發(fā)服務(wù)大規(guī)模中斷。目前，ISC 尚未發(fā)現(xiàn)相關(guān)漏洞的在野利用。

大多數(shù)漏洞是在BIND 9中發(fā)現(xiàn)的。目前BIND 9.11.31、9.16.15和9.17.12中都修復(fù)了相關(guān)漏洞。

本文翻譯自：https://www.zdnet.com/article/isc-urges-updates-of-dns-servers-to-wipe-out-new-bind-vulnerabilities/如若轉(zhuǎn)載，請(qǐng)注明原文地址。