Mises à jour correctives des branches stables du serveur DNS , ainsi que la branche expérimentale 9.15.2 en cours de développement. Les nouvelles versions corrigent une vulnérabilité (CVE-2019-6471) causée par une condition de course pouvant entraîner un déni de service (arrêt du processus lors de l'activation de l'assert) en bloquant un grand nombre de paquets entrants.
De plus, la nouvelle version 9.14.4 ajoute la prise en charge de l'API GeoIP2 pour connecter la base de données de localisation par adresse IP de l'entreprise
MaxMind (activée via la compilation avec l'option « —with-geoip2 »). La prise en charge de certaines ACL pour GeoIP2 (par exemple, vérifications basées sur les paramètres de vitesse du réseau, d'organisation et de code de pays), précédemment prises en charge par l'ancienne API GeoIP, n'est plus assurée par MaxMind. De nouvelles métriques dnssec-sign et dnssec-refresh ont également été ajoutées, avec des compteurs pour le nombre de signatures DNSSEC formées et mises à jour.
Il convient également de noter Serveurs DNS Knot 2.8.3, dans lequel un fichier de configuration de certificat/clé pour TLS a été ajouté dans kdig, la lisibilité des enregistrements de journal a été améliorée pour les signatures offline-KSK et le module RRL, et les vérifications de configuration DNSSEC ont été étendues.
Une mise à jour de Knot Resolver 4.1.0 a également été publiée, dans laquelle les problèmes suivants ont été corrigés (CVE-2019-10190, CVE-2019-10191) : possibilité de contourner la vérification DNSSEC pour les requêtes de noms absents (NXDOMAIN) et possibilité de rétrograder un domaine protégé par DNSSEC à un état non protégé par DNSSEC via le spoofing de paquets.
Source : opennet.ru
