Byly zveřejněny opravné aktualizace stabilních verzí DNS serveru BIND 9.11.37, 9.16.27 a 9.18.1, které odstranily čtyři zranitelnosti:
- CVE-2021-25220 — možnost vložení nesprávných NS záznamů do mezipaměti DNS serveru (otravování mezipaměti), což může vést k dotazům na nesprávné DNS servery, poskytující klamné informace. Problém se projevuje u resolverů běžících v režimech "forward first" (výchozí) nebo "forward only", v podmínkách kompromitace jednoho z forwarderů (NS záznamy získané od forwardera se ukládají do mezipaměti a poté mohou vést k dotazům na nesprávný DNS server při provádění rekurzivních dotazů).
- CVE-2022-0396 — útok na odmítnutí služby (nekonečné visení připojení ve stavu CLOSE_WAIT), iniciovaný odesláním speciálně vytvořených TCP paketů. Problém se projevuje pouze při zapnutí nastavení keep-response-order, které se standardně nepoužívá, a také při uvedení možnosti keep-response-order v ACL.
- CVE-2022-0635 — možnost havarijního ukončení procesu named odesláním určitých dotazů na serveru. Problém se projevuje při použití mezipaměti validovaných DNSSEC dotazů (DNSSEC-Validated Cache), která je ve verzi 9.18 zapnuta ve výchozím nastavení (nastavení dnssec-validation a synth-from-dnssec).
- CVE-2022-0667 — možnost havarijního ukončení procesu named při zpracování odložených DS dotazů. Problém se projevuje pouze ve verzi BIND 9.18 a je způsoben chybou, která byla udělána při přepracování klientského kódu pro rekurzivní zpracování dotazů.
Zdroj: opennet.ru
