Sono stati pubblicati aggiornamenti correttivi per le versioni stabili del server DNS BIND 9.11.37, 9.16.27 e 9.18.1, nei quali sono state risolte quattro vulnerabilità:
- CVE-2021-25220 — possibilità di sostituire registrazioni NS non valide nella cache del server DNS (avvelenamento della cache), il che può portare a contattare server DNS errati che forniscono informazioni false. Il problema si manifesta nei resolver che operano nelle modalità "forward first" (di default) o "forward only", in caso di compromissione di uno dei forwarder (le registrazioni NS ricevute dal forwarder si depositano nella cache e possono quindi portare a contattare un server DNS non corretto durante l'esecuzione di query ricorsive).
- CVE-2022-0396 — interruzione del servizio (blocco infinito delle connessioni nello stato CLOSE_WAIT), avviato tramite l'invio di pacchetti TCP appositamente formattati. Il problema si manifesta solo quando è attivata l'impostazione keep-response-order, che non è utilizzata di default, e quando è specificata nell'ACL l'opzione keep-response-order.
- CVE-2022-0635 — possibilità di chiusura anomala del processo named attraverso l'invio di determinate richieste a server. Il problema si manifesta nell'utilizzo della cache delle richieste DNSSEC verificate (DNSSEC-Validated Cache), che è attivata di default nella versione 9.18 (impostazioni dnssec-validation e synth-from-dnssec).
- CVE-2022-0667 — possibilità di chiusura anomala del processo named durante l'elaborazione delle richieste DS ritardate. Il problema si manifesta solo nella versione BIND 9.18 ed è causato da un errore commesso durante la revisione del codice client per la gestione ricorsiva delle richieste.
Fonte: opennet.ru
