Актуализация на DNS-сервера BIND с поправка на уязвимостта в реализацията на DNS-over-HTTPS

Публикувани са корективни актуализации на стабилните версии на DNS-сервера BIND 9.16.28 и 9.18.3, както и ново издание на експерименталната версия 9.19.1. В версиите 9.18.3 и 9.19.1 е поправена уязвимост (CVE-2022-1183) в реализацията на механизма DNS-over-HTTPS, поддържан от 9.18. Уязвимостта води до аварийно спиране на процеса named, ако TLS връзката към обработвача на базата на HTTP бъде внезапно прекъсната. Проблемът засяга само сървъри, обслужващи DNS запитвания по HTTPS (DoH). Сървърите, които приемат запитвания по DNS over TLS (DoT) и не използват DoH, не са засегнати от проблема.

В изданието 9.18.3 са добавени и няколко функционални подобрения. Добавена е поддръжка на втора версия на каталога на зони („Catalog Zones“), определена в петия черновик на спецификацията IETF. Каталогът на зони предлага нов метод за поддържане на вторични DNS-сървъри, при който вместо да се определят на вторичния сървър отделни записи за всяка вторична зона, между първичния и вторичния сървър се организира предаване на определен набор от вторични зони. Тоест, настроявайки трансфера на каталога аналогично на предаването на отделни зони, регистрираните на първичния сървър зони, маркирани като входящи в каталога, ще бъдат автоматично създадени на вторичния сървър без необходимост от поправка на конфигурационните файлове.

В новата версия е добавена и поддръжка на разширени кодове за грешки „Stale Answer“ и „Stale NXDOMAIN Answer“, издаващи се, когато остарял отговор бъде върнат от кеша. В named и dig е вградена възможност за верификация на външни TLS-сертификати, която може да се използва за организиране на строга или съвместна аутентификация на базата на TLS (RFC 9103).

Източник: opennet.ru