Es wurden Korrektur-Updates für die stabilen Versionen des DNS-Servers BIND 9.11.37, 9.16.27 und 9.18.1 veröffentlicht, die vier Sicherheitsanfälligkeiten beheben:
- CVE-2021-25220 — die Möglichkeit, inkorrekte NS-Einträge in den Cache des DNS-Servers einzuschleusen (Cache Poisoning), was zu Anfragen an falsche DNS-Server führen kann, die falsche Informationen liefern. Das Problem tritt bei Resolvern auf, die im Modus „forward first“ (Standard) oder „forward only“ arbeiten, unter der Bedingung, dass einer der Forwarder kompromittiert ist (NS-Einträge, die von einem Forwarder erhalten werden, bleiben im Cache und können dann dazu führen, dass nicht der richtige DNS-Server bei rekursiven Anfragen kontaktiert wird).
- CVE-2022-0396 — Denial of Service (endloses Blockieren von Verbindungen im Zustand CLOSE_WAIT), ausgelöst durch das Senden speziell gestalteter TCP-Pakete. Das Problem tritt nur auf, wenn die Einstellung keep-response-order aktiviert ist, die standardmäßig nicht verwendet wird, sowie wenn die Option keep-response-order in der ACL angegeben ist.
- CVE-2022-0635 — die Möglichkeit, den Prozess named durch das Senden bestimmter Anfragen zum Absturz zu bringen. Server. Das Problem tritt auf, wenn der DNSSEC-validierte Cache verwendet wird, der standardmäßig in der Version 9.18 aktiviert ist (Einstellungen dnssec-validation und synth-from-dnssec).
- CVE-2022-0667 — die Möglichkeit eines Absturzes des Prozesses named bei der Verarbeitung von verzögerten DS-Anfragen. Das Problem tritt nur in der BIND 9.18-Version auf und wird durch einen Fehler in der Überarbeitung des Client-Codes für die rekursive Verarbeitung von Anfragen verursacht.
Quelle: opennet.ru
