BIND缓冲区溢出误差（CVE-2021-25216）

宣布时间 2021-04-30

0x00 误差概述

CVE  ID

CVE-2021-25216

时   间

2021-04-30

类   型

缓冲区溢出

等    级

高危

远程使用

是

影响规模


PoC/EXP

未果真

在野使用

否

 

0x01 误差详情

image.png

BIND（Berkeley Internet Name Domain ，伯克利因特网名称域）服务是全球规模内使用最普遍、 最清静可靠且高效的域名剖析服务程序 。

2021年04月28日 ，ISC宣布清静通告 ，果真了BIND中的一个缓冲区溢出误差（CVE-2021-25216） ，该误差的CVSS评分为8.1 。攻击者可以使用此误差触发缓冲区溢出 ，最终导致服务器崩�；蛟冻檀胫葱� 。

 

误差细节

该误差保存于BIND使用的SPNEGO中 ，若是BIND服务器设置为使用GSS-TSIG功效 ，则保存此误差 。GSS-TSIG是对TSIG协议的扩展 ，旨在支持清静交流密钥 ，用于验证网络上各方之间通讯的真实性 ，SPNEGO是GSSAPI使用的一种协商机制 ，是GSS-TSIG的应用协议接口 。

BIND默认设置不会袒露易受攻击的代码路径 ，但通过设置tkey-gssapi-keytab或tkey-gssapi-credential设置选项的值 ，可以使服务器受到攻击 。别的 ，GSS-TSIG经常被用于BIND与Samba集成的网络中 ，以及BIND服务器与Active Directory域控制器团结的混淆服务器情形中 ，这种情形下的ISC SPNEGO容易受到针对此误差的攻击 ，详细影响取决于BIND所使用的CPU架构：

Named（64位）：CVSS评分7.4 ，此误差可触发缓冲区溢出 ，从而导致服务器瓦解 。

Named（32位）：CVSS评分8.1 ，此误差可触发缓冲区溢出导致服务器瓦解 ，并远程执行代码 。

 

影响规模

BIND 9.5.0 - 9.11.29

BIND 9.12.0- 9.16.13

BIND支持的预览版9.11.3-S1 - 9.11.29-S1和 9.16.8-S1 - 9.16.13-S1

以及BIND 9.17分支刊行版BIND 9.17.0 - 9.17.1 。

 

0x02 处置惩罚建议

现在此误差已经修复 ，建议升级到以下版本：

BIND 9.11.31

BIND 9.16.15

BIND支持的预览版（适用于切合条件的ISC支持客户）：

BIND 9.11.31-S1

BIND 9.16.15-S1

 

解决要领：

此误差仅影响设置为使用GSS-TSIG的服务器 ，可以通过选择不启用GSS-TSIG功效来阻止该误差 。

在2021年4月的BIND宣布之后 ，所有支持的分支都删除了isc-spnego ，以阻止此误差 ，但需要系统使用其它库和头文件来支持GSS-TSIG功效 ，除非在选择构建选项时向./configure剧本提供--without-gssapi参数来禁用这种功效 。

 

下载链接：

https://gitlab.isc.org/isc-projects/bind9/-/blob/v9_11_31/HISTORY.md

https://gitlab.isc.org/isc-projects/bind9/-/blob/v9_16_15/HISTORY.md

 

0x03 参考链接

https://kb.isc.org/docs/cve-2021-25216

https://us-cert.cisa.gov/ncas/current-activity/2021/04/29/isc-releases-security-advisory-bind

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-25216

 

0x04 时间线

2021-04-28  ISC宣布清静通告

2021-04-30  VSRC宣布清静通告

 

0x05 附录

 

CVSS评分标准官网：http://www.first.org/cvss/

image.png