BIND缓冲区溢露马脚（CVE-2021-25216）
颁布功夫 2021-04-300x00 缝隙概述
CVE ID | CVE-2021-25216 | 时 间 | 2021-04-30 |
类 型 | 缓冲区溢出 | 等 级 | 高危 |
远程利用 | 是 | 影响领域 | |
PoC/EXP | 未公开 | 在野利用 | 否 |
0x01 缝隙详情
BIND（Berkeley Internet Name Domain，伯克利因特网名称域）服务是全球领域内使用最宽泛、 最安全靠得住且高效的域名解析服务法式。
2021年04月28日，ISC颁布安全布告，公开了BIND中的一个缓冲区溢露马脚（CVE-2021-25216），该缝隙的CVSS评分为8.1。攻击者能够利用此缝隙触发缓冲区溢出，最终导致服务器崩�；蛟冻檀胫葱�。
缝隙细节
该缝隙存在于BIND使用的SPNEGO中，若是BIND服务器配置为使用GSS-TSIG职能，则存在此缝隙。GSS-TSIG是对TSIG和谈的扩大，旨在支持安全互换密钥，用于验证网络上各方之间通讯的真实性，SPNEGO是GSSAPI使用的一种协商机造，是GSS-TSIG的利用和谈接口。
BIND默认配置不会露出易受攻击的代码蹊径，但通过设置tkey-gssapi-keytab或tkey-gssapi-credential配置选项的值，能够使服务器受到攻击。此表，GSS-TSIG时时被用于BIND与Samba集成的网络中，以及BIND服务器与Active Directory域节造器结合的混合服务器环境中，这种环境下的ISC SPNEGO容易受到针对此缝隙的攻击，具体影响取决于BIND所使用的CPU架构：
Named（64位）：CVSS评分7.4，此缝隙可触发缓冲区溢出，从而导致服务器崩溃。
Named（32位）：CVSS评分8.1，此缝隙可触发缓冲区溢出导致服务器崩溃，并远程执行代码。
影响领域
BIND 9.5.0 - 9.11.29
BIND 9.12.0- 9.16.13
BIND支持的预览版9.11.3-S1 - 9.11.29-S1和 9.16.8-S1 - 9.16.13-S1
以及BIND 9.17分支刊行版BIND 9.17.0 - 9.17.1。
0x02 措置建议
目前此缝隙已经建复，建议升级到以下版本：
BIND 9.11.31
BIND 9.16.15
BIND支持的预览版（合用于切合前提的ISC支持客户）：
BIND 9.11.31-S1
BIND 9.16.15-S1
解决步骤：
此缝隙仅影响配置为使用GSS-TSIG的服务器，能够通过选择不启用GSS-TSIG职能来预防该缝隙。
在2021年4月的BIND颁布之后，所有支持的分支都删除了isc-spnego，以预防此缝隙，但必要系统使用其它库和头文件来支持GSS-TSIG职能，除非在选择构建选项时向./configure剧本提供--without-gssapi参数来禁用这种职能。
下载链接：
https://gitlab.isc.org/isc-projects/bind9/-/blob/v9_11_31/HISTORY.md
https://gitlab.isc.org/isc-projects/bind9/-/blob/v9_16_15/HISTORY.md
0x03 参考链接
https://kb.isc.org/docs/cve-2021-25216
https://us-cert.cisa.gov/ncas/current-activity/2021/04/29/isc-releases-security-advisory-bind
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-25216
0x04 功夫线
2021-04-28 ISC颁布安全布告
2021-04-30 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号