Korrektur-Updates für stabile Zweige des DNS-Servers , sowie der in Entwicklung befindlichen experimentellen Version 9.15.2. In den neuen Versionen wurde eine Schwachstelle (CVE-2019-6471) behoben, die durch einen Race Condition verursacht wurde und zu einem Dienstausfall (Beendigung des Prozesses beim Auslösen von Assert) führen konnte, wenn eine große Anzahl eingehender Pakete blockiert wurde.
Darüber hinaus wurde in der neuen Version 9.14.4 die Unterstützung für die GeoIP2-API hinzugefügt, um eine Datenbank zur Standortbestimmung anhand von IP-Adressen des Unternehmens
MaxMind (aktivierbar über die Kompilierungsoption „—with-geoip2“) anzuschließen. Für GeoIP2 wurde die Unterstützung einiger ACLs eingestellt (zum Beispiel Überprüfungen basierend auf Netzwerkgeschwindigkeit, Organisation und Länder-Code), die zuvor für die alte GeoIP-API unterstützt wurden, deren Wartung von MaxMind eingestellt wurde. Außerdem wurden neue Metriken dnssec-sign und dnssec-refresh mit Zählern für die Anzahl der erstellten und aktualisierten DNSSEC-Signaturen hinzugefügt.
Zusätzlich kann vermerkt werden DNS-Server Knot 2.8.3, in dem eine Konfigurationsdatei für das TLS-Zertifikat/den Schlüssel in kdig hinzugefügt wurde, die Informationsdichte der Protokolle für offline-KSK-Signaturen und das RRL-Modul verbessert wurde, sowie die DNSSEC-Konfigurationsprüfungen erweitert wurden.
Außerdem wurde ein Update für Knot Resolver 4.1.0 veröffentlicht, in dem folgende Schwachstellen behoben wurden (CVE-2019-10190, CVE-2019-10191): Möglichkeit, die DNSSEC-Überprüfung für Anfragen auf nicht vorhandene Namen (NXDOMAIN) zu umgehen, und die Möglichkeit, eine über DNSSEC geschützte Domain auf einen ungeschützten DNSSEC-Zustand durch Paket-Spoofing zurückzusetzen.
Quelle: opennet.ru
