BIND缓冲区溢出误差（CVE-2021-25216）
宣布时间 2021-04-300x00 误差概述
CVE ID | CVE-2021-25216 | 时 间 | 2021-04-30 |
类 型 | 缓冲区溢出 | 等 级 | 高危 |
远程使用 | 是 | 影响规模 | |
PoC/EXP | 未果真 | 在野使用 | 否 |
0x01 误差详情
BIND（Berkeley Internet Name Domain ，，， ，，，伯克利因特网名称域）效劳是全球规模内使用最普遍、 最清静可靠且高效的域名剖析效劳程序。。。。 。。
2021年04月28日 ，，， ，，，ISC宣布清静通告 ，，， ，，，果真了BIND中的一个缓冲区溢出误差（CVE-2021-25216） ，，， ，，，该误差的CVSS评分为8.1。。。。 。。攻击者可以使用此误差触发缓冲区溢出 ，，， ，，，最终导致效劳器崩�；；； ；蛟冻檀胫葱�。。。。 。。
误差细节
该误差保存于BIND使用的SPNEGO中 ，，， ，，，若是BIND效劳器设置为使用GSS-TSIG功效 ，，， ，，，则保存此误差。。。。 。。GSS-TSIG是对TSIG协议的扩展 ，，， ，，，旨在支持清静交流密钥 ，，， ，，，用于验证网络上各方之间通讯的真实性 ，，， ，，，SPNEGO是GSSAPI使用的一种协商机制 ，，， ，，，是GSS-TSIG的应用协议接口。。。。 。。
BIND默认设置不会袒露易受攻击的代码路径 ，，， ，，，但通过设置tkey-gssapi-keytab或tkey-gssapi-credential设置选项的值 ，，， ，，，可以使效劳器受到攻击。。。。 。。别的 ，，， ，，，GSS-TSIG经常被用于BIND与Samba集成的网络中 ，，， ，，，以及BIND效劳器与Active Directory域控制器连系的混淆效劳器情形中 ，，， ，，，这种情形下的ISC SPNEGO容易受到针对此误差的攻击 ，，， ，，，详细影响取决于BIND所使用的CPU架构：
Named（64位）：CVSS评分7.4 ，，， ，，，此误差可触发缓冲区溢出 ，，， ，，，从而导致效劳器瓦解。。。。 。。
Named（32位）：CVSS评分8.1 ，，， ，，，此误差可触发缓冲区溢出导致效劳器瓦解 ，，， ，，，并远程执行代码。。。。 。。
影响规模
BIND 9.5.0 - 9.11.29
BIND 9.12.0- 9.16.13
BIND支持的预览版9.11.3-S1 - 9.11.29-S1和 9.16.8-S1 - 9.16.13-S1
以及BIND 9.17分支刊行版BIND 9.17.0 - 9.17.1。。。。 。。
0x02 处置惩罚建议
现在此误差已经修复 ，，， ，，，建议升级到以下版本：
BIND 9.11.31
BIND 9.16.15
BIND支持的预览版（适用于切合条件的ISC支持客户）：
BIND 9.11.31-S1
BIND 9.16.15-S1
解决要领：
此误差仅影响设置为使用GSS-TSIG的效劳器 ，，， ，，，可以通过选择不启用GSS-TSIG功效来阻止该误差。。。。 。。
在2021年4月的BIND宣布之后 ，，， ，，，所有支持的分支都删除了isc-spnego ，，， ，，，以阻止此误差 ，，， ，，，但需要系统使用其它库和头文件来支持GSS-TSIG功效 ，，， ，，，除非在选择构建选项时向./configure剧本提供--without-gssapi参数来禁用这种功效。。。。 。。
下载链接：
https://gitlab.isc.org/isc-projects/bind9/-/blob/v9_11_31/HISTORY.md
https://gitlab.isc.org/isc-projects/bind9/-/blob/v9_16_15/HISTORY.md
0x03 参考链接
https://kb.isc.org/docs/cve-2021-25216
https://us-cert.cisa.gov/ncas/current-activity/2021/04/29/isc-releases-security-advisory-bind
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-25216
0x04 时间线
2021-04-28 ISC宣布清静通告
2021-04-30 VSRC宣布清静通告
0x05 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号