Es wurden Korrekturupdates fĂŒr die stabilen Branches des DNS-Servers BIND 9.11.37, 9.16.27 und 9.18.1 veröffentlicht, in denen vier SicherheitsanfĂ€lligkeiten behoben wurden:
- CVE-2021-25220 â Möglichkeit der Einspeisung ungĂŒltiger NS-DatensĂ€tze in den Cache des DNS-Servers (Cache-Poisoning), was dazu fĂŒhren kann, dass falsche DNS-Server aufgerufen werden, die falsche Informationen zurĂŒckgeben. Das Problem tritt bei Resolvern auf, die im Modus "forward first" (Standard) oder "forward only" betrieben werden, unter der Bedingung, dass einer der Forwarder kompromittiert ist (die vom Forwarder erhaltenen NS-DatensĂ€tze bleiben im Cache und können dann dazu fĂŒhren, dass nicht der richtige DNS-Server bei der AusfĂŒhrung rekursiver Anfragen aufgerufen wird).
- CVE-2022-0396 â Dienstverweigerung (ewiges HĂ€ngenbleiben der Verbindungen im Zustand CLOSE_WAIT), ausgelöst durch das Versenden speziell formatierter TCP-Pakete. Das Problem tritt nur auf, wenn die Einstellung keep-response-order aktiviert ist, die standardmĂ€Ăig nicht verwendet wird, sowie beim Festlegen der Option keep-response-order in ACLs.
- CVE-2022-0635 â Möglichkeit des Absturzes des Named-Prozesses durch das Versenden bestimmter Anfragen an zu einem Server. Das Problem tritt auf, wenn der Cache validierter DNSSEC-Anfragen (DNSSEC-Validated Cache) verwendet wird, der standardmĂ€Ăig in der Version 9.18 aktiviert ist (Einstellungen dnssec-validation und synth-from-dnssec).
- CVE-2022-0667 â Möglichkeit des Absturzes des Named-Prozesses bei der Verarbeitung verzögerter DS-Anfragen. Das Problem tritt nur in der Version BIND 9.18 auf und wird durch einen Fehler verursacht, der beim Ăberarbeiten des Clientcodes fĂŒr die rekursive Verarbeitung von Anfragen gemacht wurde.
Quelle: opennet.ru
