CVE-2021-25216: A second vulnerability in BIND's GSSAPI security policy negotiation can be targeted by a buffer overflow attack
Оценка Noroxi
Приоритет: На этой неделе (оценка срочности 64/100)
- В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
- Вероятность эксплуатации в ближайшие 30 дней: 82,9% (FIRST EPSS); выше, чем у 99,6% записей.
- Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
- Исправленная версия: bind (Alpine:v3.10) 9.16.15-r0; bind9 (Debian:10) 1:9.11.5.P4+dfsg-5.1+deb10u5; bind9 (Debian:12) 1:9.16.15-1.
- Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 2.
Не ждите следующего окна обслуживания. Обновитесь до bind (Alpine:v3.10) 9.16.15-r0; bind9 (Debian:10) 1:9.11.5.P4+dfsg-5.1+deb10u5; bind9 (Debian:12) 1:9.16.15-1 или новее.
Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем
Первоисточники: NVD · CVE.org · FIRST EPSS
In BIND 9.5.0 -> 9.11.29, 9.12.0 -> 9.16.13, and versions BIND 9.11.3-S1 -> 9.11.29-S1 and 9.16.8-S1 -> 9.16.13-S1 of BIND Supported Preview Edition, as well as release versions 9.17.0 -> 9.17.1 of the BIND 9.17 development branch, BIND servers are vulnerable if they are running an affected version and are configured to use GSS-TSIG features. In a configuration which uses BIND's default settings the vulnerable code path is not exposed, but a server can be rendered vulnerable by explicitly setting values for the tkey-gssapi-keytab or tkey-gssapi-credential configuration options. Although the default configuration is not vulnerable, GSS-TSIG is frequently used in networks where BIND is integrated with Samba, as well as in mixed-server environments that combine BIND servers with Active Directory domain controllers. For servers that meet these conditions, the ISC SPNEGO implementation is vulnerable to various attacks, depending on the CPU architecture for which BIND was built: For named binaries compiled for 64-bit platforms, this flaw can be used to trigger a buffer over-read, leading to a server crash. For named binaries compiled for 32-bit platforms, this flaw can be used to trigger a server crash due to a buffer overflow and possibly also to achieve remote code execution. We have determined that standard SPNEGO implementations are available in the MIT and Heimdal Kerberos libraries, which support a broad range of operating systems, rendering the ISC implementation unnecessary and obsolete. Therefore, to reduce the attack surface for BIND users, we will be removing the ISC SPNEGO implementation in the April releases of BIND 9.11 and 9.16 (it had already been dropped from BIND 9.17). We would not normally remove something from a stable ESV (Extended Support Version) of BIND, but since system libraries can replace the ISC SPNEGO implementation, we have made an exception in this case for reasons of stability and security.
- Опубликовано
- 28 апр. 2021 г.
- Обновлено
- 16 июн. 2026 г.
- EPSS
- 82,9 % · 99-й процентиль
- CWE
- CWE-125
Инструменты для отчёта
Оценка срочности
64
На этой неделе
Не ждите следующего окна обслуживания.
- CVSS
- 39 / 40 · 9.8 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 25 / 30 · 82,9 %
Оценка CNA и NVD
- NVD
- 9,8
- CNA · isc
- 8,1
- разница 1,7 балла
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.
Узнайте, когда запись изменится
- Нет в KEV: эксплуатация в реальных атаках не зафиксирована
- Публичного эксплойта нет
- Исправление выпущено
Если что-то из этого изменится, сообщим в ежедневной сводке.
У вас WordPress? Проверьте сайт бесплатно в WP Lens
Анализ Noroxi
Что это значит для вашей инфраструктуры?
Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.
Мы используем этот продукт, нужна помощьЗатронутые системы
Затронута ли ваша версия?
Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.
| Вендор | Продукт | CPE |
|---|---|---|
| debian | debian linux | cpe:2.3:o:debian:debian_linux |
| isc | bind | cpe:2.3:a:isc:bind |
| siemens | sinec infrastructure network services | cpe:2.3:a:siemens:sinec_infrastructure_network_services |
| netapp | active iq unified manager | cpe:2.3:a:netapp:active_iq_unified_manager |
| netapp | cloud backup | cpe:2.3:a:netapp:cloud_backup |
| netapp | aff a250 firmware | cpe:2.3:o:netapp:aff_a250_firmware |
| netapp | aff a250 | cpe:2.3:h:netapp:aff_a250 |
| netapp | aff 500f firmware | cpe:2.3:o:netapp:aff_500f_firmware |
| netapp | aff 500f | cpe:2.3:h:netapp:aff_500f |
| netapp | h300s firmware | cpe:2.3:o:netapp:h300s_firmware |
| netapp | h300s | cpe:2.3:h:netapp:h300s |
| netapp | h500s firmware | cpe:2.3:o:netapp:h500s_firmware |
и ещё 11
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- debian debian linux10.0
- debian debian linux9.0
- isc bind9.17.0 и новее · до 9.17.12
- isc bind9.0.0 и новее · до 9.11.31
- isc bind9.12.0 и новее · до 9.16.15
- isc bind9.10.5
- isc bind9.10.7
- isc bind9.11.12
- isc bind9.11.21
- isc bind9.11.27
- isc bind9.11.29
- isc bind9.11.3
- isc bind9.11.5
- isc bind9.11.6
- isc bind9.11.7
- isc bind9.11.8
- isc bind9.16.11
- isc bind9.16.13
- isc bind9.16.8
- isc bind9.9.12
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (isc). Не зависят от анализа CPE в NVD и обычно опережают его.
ISC BIND9
- Open Source Branches 9.5 though 9.11 9.5.0 through versions before 9.11.31, Open Source Branches 9.12 though 9.16 9.12.0 through versions before 9.16.14, Supported Preview Branch 9.11-S 9.11.3-S1 through versions before 9.11.31-S1, Supported Preview Branch 9.16-S 9.16.8-S1 through versions before 9.16.14-S1, Development Branch 9.17 9.17.0 through versions before 9.17.2затронута
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| Alpine:v3.10 | bind | с 9.0.0 · до 9.16.15-r0 | 9.16.15-r0 |
| Debian:10 | bind9 | до 1:9.11.5.P4+dfsg-5.1+deb10u5 | 1:9.11.5.P4+dfsg-5.1+deb10u5 |
| Debian:12 | bind9 | до 1:9.16.15-1 | 1:9.16.15-1 |
| Debian:9 | bind9 | до 1:9.10.3.dfsg.P4-12.3+deb9u9 | 1:9.10.3.dfsg.P4-12.3+deb9u9 |
| SUSE:HPE Helion OpenStack 8 | bind | до 9.9.9P1-63.25.1 | 9.9.9P1-63.25.1 |
| SUSE:Linux Enterprise Point of Sale 11 SP3 | bind | до 9.9.6P1-0.51.26.1 | 9.9.6P1-0.51.26.1 |
Тот же продукт
debian: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2016-9079A use-after-free vulnerability in SVG Animation has been discovered.KEV86Срочно
- CVE-2024-44308The issue was addressed with improved checks.KEV68На этой неделе
- CVE-2024-44309A cookie management issue was addressed with improved state management.KEV62На этой неделе
Опубликованы до и после этой записи в том же продукте
- ← РаньшеCVE-2018-573530 окт. 2019 г. · Backport of the fix for CVE-2017-3137 leads to assertion failure in validator.c:185830Наблюдать
- ← РаньшеCVE-2021-2521528 апр. 2021 г. · An assertion check can fail while answering queries for DNAME records that require the DNAME to be processed to resolve itself34Наблюдать
- Позже →CVE-2015-18772 июн. 2021 г. · The open_generic_xdg_mime function in xdg-open in xdg-utils 1.1.0 rc1 in Debian, when using dash, does not properly handle local variables, 36Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| alpine:bind | 9.16.15-r0 · Alpine:v3.10 | Реестр пакетов (OSV) |
| debian:bind9 | 1:9.16.15-1 · Debian:12 | Реестр пакетов (OSV) |
| suse:bind | 9.9.9P1-63.25.1 · SUSE:HPE Helion OpenStack 8 | Реестр пакетов (OSV) |
Статус эксплойта
Публичный эксплойт неизвестен
Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
Кроме публикации датированных событий нет.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
Ночной расчёт связей ничего не нашёл.
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Национальное уведомление (Управление кибербезопасности Турции / USOM)
Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.
- TR-22-0215 · 11 мар. 2022 г.(Siemens Güvenlik Bildirimi)
- TR-21-0378 · 4 мая 2021 г.(Debian Güvenlik Güncellemesi Yayınladı)
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Учётная запись или пароль не требуются.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- высокое · данные могут быть прочитаны
- Целостность
- высокое · данные или конфигурация могут быть изменены
- Доступность
- высокое · работа сервиса может быть нарушена
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Не требуются
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Высокое
- Влияние на целостность
- Высокое
- Влияние на доступность
- Высокое
Класс уязвимости (CWE)
CWE-125 · Out-of-bounds ReadВектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
nvd-primary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
Шаблоны атак (CAPEC)
Техники ATT&CK
—
Журнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
Показать все источники (ещё 9)Свернуть
- www.openwall.com/lists/oss-security/2021/04/29/2
- www.openwall.com/lists/oss-security/2021/04/29/3
- www.openwall.com/lists/oss-security/2021/04/29/4
- cert-portal.siemens.com/productcert/pdf/ssa-389290.pdf
- kb.isc.org/v1/docs/cve-2021-25215
- lists.debian.org/debian-lts-announce/2021/05/msg00001.html
- security.netapp.com/advisory/ntap-20210521-0006/
- www.debian.org/security/2021/dsa-4909
- www.zerodayinitiative.com/advisories/ZDI-21-657/
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.