DNS-Server BIND-Update zur Behebung einer Sicherheitsanfälligkeit in der Implementierung von DNS-over-HTTPS

Es wurden wichtige Updates für die stabilen Versionen des DNS-Servers BIND 9.16.28 und 9.18.3 sowie für die neue experimentelle Version 9.19.1 veröffentlicht. In den Versionen 9.18.3 und 9.19.1 wurde eine Sicherheitsanfälligkeit (CVE-2022-1183) in der Implementierung des DNS-over-HTTPS-Mechanismus behoben, der seit der Version 9.18 unterstützt wird. Die Sicherheitsanfälligkeit führt zum Absturz des named-Prozesses, wenn die TLS-Verbindung zu einem HTTP-basierten Handler vorzeitig unterbrochen wird. Das Problem betrifft nur Server, die DNS-over-HTTPS (DoH)-Anfragen bearbeiten. Server, die Anfragen über DNS-over-TLS (DoT) empfangen und DoH nicht verwenden, sind von dem Problem nicht betroffen.

In der Version 9.18.3 wurden auch mehrere funktionale Verbesserungen hinzugefügt. Die Unterstützung für die zweite Version der Zonenkataloge („Catalog Zones“), die im fünften Entwurf der IETF-Spezifikation definiert ist, wurde eingeführt. Der Zonenkatalog bietet eine neue Methode zur Pflege sekundärer DNS-Server, bei der anstelle der Definition einzelner Einträge für jede sekundäre Zone auf dem sekundären Server ein bestimmter Satz von sekundären Zonen zwischen dem primären und dem sekundären Server übertragen wird. Das heißt, wenn der Katalogübertrag so konfiguriert wird wie die Übertragung einzelner Zonen, werden auf dem primären Server erstellte Zonen, die als Teil des Katalogs markiert sind, automatisch auf dem sekundären Server erstellt, ohne dass Konfigurationsdateien bearbeitet werden müssen.

In der neuen Version wurde auch die Unterstützung für die erweiterten Fehlercodes „Stale Answer“ und „Stale NXDOMAIN Answer“ hinzugefügt, die ausgegeben werden, wenn eine veraltete Antwort aus dem Cache zurückgegeben wird. In named und dig wurde die Möglichkeit integriert, externe TLS-Zertifikate, die für die Implementierung strenger oder gemeinsamer Authentifizierung auf Basis von TLS (RFC 9103) verwendet werden kann.

Quelle: opennet.ru