Актуализация на DNS-сървърите BIND 9.14.4 и Knot 2.8.3

Публикувани коригиращи ъпдейти на стабилните версии на DNS сървъра BIND 9.14.4 и 9.11.9, както и на експерименталната версия 9.15.2, която е в процес на разработка. В новите издания е отстранена уязвимост (CVE-2019-6471), причинена от състояние на състезание, което може да доведе до отказ в обслужването (прекратяване на процеса при задействане на assert) при блокиране на голям брой входящи пакети.

Освен това в новата версия 9.14.4 е добавена поддръжка за GeoIP2 API за свързване с базата данни за определяне на местоположението на IP адреси от компанията
MaxMind (включва се чрез компилация с опция "—with-geoip2"). За GeoIP2 е прекратена поддръжката на някои ACL (напр. проверка по параметри на скоростта на мрежата, организацията и кода на страната), които преди това бяха поддържани за стария GeoIP API, на който вече не се предлага поддръжка от MaxMind. Също така са добавени нови метрики dnssec-sign и dnssec-refresh с броячи на генерираните и обновените подписи DNSSEC.

Допълнително може да бъде отбелязано издание DNS сървъри Knot 2.8.3, в който е добавен конфигурационен файл за сертификат/ключ за TLS в kdig, е увеличена информативността на записите в логовете за offline-KSK подписи и модула RRL, а проверките на конфигурацията на DNSSEC са разширени.

Също така излезе обновление Knot Resolver 4.1.0, в което са отстранени две уязвимости (CVE-2019-10190, CVE-2019-10191): възможността да се заобиколи проверката на DNSSEC за заявки за отсъстващи именa (NXDOMAIN) и възможността да се върне защитен чрез DNSSEC домейн обратно в незащитено състояние чрез спуфинг на пакети.

Източник: opennet.ru