DNS-serveri BIND uuendus, mis kõrvaldab haavatavuse DNS-over-HTTPS rakenduses

On avaldatud DNS-serveri BIND stabiilsete versioonide 9.16.28 ja 9.18.3 parandavad uuendused ning samuti uus katsetav versioon 9.19.1. Versioonides 9.18.3 ja 9.19.1 on parandatud haavatavust (CVE-2022-1183) DNS-over-HTTPS mehhanismi rakenduses, mis on toetatud alates 9.18 versioonist. See haavatavus võib põhjustada named protsessi ootamatut lõpetamist juhul, kui TLS-ühendus HTTP-protokollil põhineva töötlejaga katkeb enneaegselt. Probleem puudutab ainult serverid, mis töötlevad DNS over HTTPS (DoH) päringuid. Serverid, mis aktsepteerivad päringuid DNS over TLS (DoT) ja ei kasuta DoH-i, ei ole probleemile vastuvõtlikud.

Versioonis 9.18.3 on samuti lisatud mitmeid funktsionaalseid täiustusi. Lisatud on toetus katalooge tsoonide teise versioonile («Catalog Zones»), mis on määratletud IETF-i viienda eelnõu spetsifikatsioonis. Katalooge tsoonide meetod pakub uut viisi sekundaarsete DNS-serverite haldamiseks, mille puhul ei määra iga sekundaarse tsooni jaoks eraldi kirjeid, vaid korraldatakse primaarse ja sekundaarse serveri vahel teatud arvu sekundaarsete tsoonide edastamine. T. e. seadistades katalooge edastamise sarnaselt eraldi tsoonide edastamisele, luuakse primaarserveris loodud tsoonid, mis on märgitud kui kuuluvad katalooge, automaatselt sekundaarserveris, ilma konfiguratsioonifailide muutmiseta.

Uues versioonis on lisatud ka laiendatud tõrkekoodide tugi «Stale Answer» ja «Stale NXDOMAIN Answer», mis väljastatakse, kui aegunud vastus naaseb vahemälust. Named ja dig sisaldavad võimalust väliste valideerimiste tegemiseks, TLS-sertifikaatide, mida saab kasutada rangete või ühiselt välja töötatud TLS (RFC 9103) autentimise korraldamiseks.

Allikas: opennet.ru