El Consorcio de Sistemas de Internet (ISC) lanzó actualizaciones para el software BIND DNS para parchear varias fallas de denegación de servicio (DoS) y posibles fallas de RCE.

El Consorcio de Sistemas de Internet (ISC) ha publicado actualizaciones de seguridad para el software BIND DNS para abordar varias vulnerabilidades que los atacantes pueden aprovechar para activar condiciones de denegación de servicio (DoS) y potencialmente ejecutar código arbitrario de forma remota.

La vulnerabilidad más grave, registrada como CVE-2021-25216, es un problema de desbordamiento del búfer que puede provocar un bloqueo del servidor y, en condiciones específicas, la ejecución remota de código.

"GSS-TSIG es una extensión del protocolo TSIG que está destinado a respaldar el intercambio seguro de claves para su uso en la verificación de la autenticidad de las comunicaciones entre las partes en una red". lee el aviso publicado por la organización. “SPNEGO es un mecanismo de negociación utilizado por GSSAPI, la interfaz de protocolo de aplicación para GSS-TSIG. Se ha descubierto que la implementación de SPNEGO utilizada por BIND es vulnerable a un ataque de desbordamiento de búfer ".

• https://kb.isc.org/v1/docs/cve-2021-25216

El problema solo afecta a los servidores configurados para usar características GSS-TSIG que son muy comunes, por esta razón, la falla ha sido calificada con una puntuación de gravedad CVSS de 8.1.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de los Estados Unidos (CISA) publicó un aviso de seguridad sobre esta vulnerabilidad advirtiendo que un atacante remoto podría aprovechar esta falla para tomar el control de un sistema afectado.

• https://us-cert.cisa.gov/ncas/current-activity/2021/04/29/isc-releases-security-advisory-bind

Las versiones afectadas son BIND 9.5.0 -> 9.11.29, 9.12.0 -> 9.16.13, y las versiones BIND 9.11.3-S1 -> 9.11.29-S1 y 9.16.8-S1 -> 9.16.13-S1 de BIND Supported Preview Edition, así como las versiones 9.17.0 -> 9.17.1 de la rama de desarrolloc BIND 9.17.

La falla CVE-2021-25216 fue reportada a ISC por un investigador anónimo a través de Zero Day Initiative de Trend Micro.

• La segunda vulnerabilidad, rastreada como CVE-2021-25215, puede ser explotada por un atacante remoto para hacer que el proceso del servidor de nombres BIND (con nombre) finalice debido a una verificación de afirmación fallida que desencadena una condición DoS. La vulnerabilidad ha sido calificada con una puntuación CVSS de 7.5.
• La tercera vulnerabilidad corregida por la organización es un problema de gravedad media registrado como CVE-2021-25214 que puede explotarse para desencadenar ataques DoS. La falla se puede explotar de forma remota, solo el servidor de destino acepta transferencias de zona del atacante potencial.

La única buena noticia es que el ISC no estaba al tanto de ningún ataque que explotara las vulnerabilidades mencionadas.

Fuentes:

https://securityaffairs.co/wordpress/117414/security/bind-dns-servers-flaws.html