Sono state pubblicate le versioni correttive delle branche stabili del server DNS BIND 9.11.37, 9.16.27 e 9.18.1, che risolvono quattro vulnerabilità:
- CVE-2021-25220 — possibilità di inserire record NS non corretti nella cache del server DNS (avvelenamento della cache), che può portare a contattare server DNS errati che forniscono informazioni false. Il problema si manifesta nei resolver operanti in modalità "forward first" (predefinita) o "forward only", in caso di compromissione di uno dei forwarder (i record NS ricevuti dal forwarder si accumulano nella cache e possono portare a contattare il server DNS sbagliato durante le query ricorsive).
- CVE-2022-0396 — Denial of Service (blocco infinito delle connessioni in stato CLOSE_WAIT), innescato dall'invio di pacchetti TCP appositamente formattati. Il problema si manifesta solo quando è attivata l'opzione keep-response-order, che non è utilizzata per impostazione predefinita, e quando nell'ACL è specificata l'opzione keep-response-order.
- CVE-2022-0635 — possibilità di terminare in modo anomalo il processo named inviando determinati richieste a server. Il problema si verifica quando si utilizza la cache DNSSEC-validata (DNSSEC-Validated Cache), che è abilitata di default nella versione 9.18 (impostazioni dnssec-validation e synth-from-dnssec).
- CVE-2022-0667 — possibilità di crash del processo named durante l'elaborazione di richieste DS in sospeso. Il problema si verifica solo nella versione BIND 9.18 ed è causato da un errore nel ripristino del codice client per l'elaborazione ricorsiva delle richieste.
Fonte: opennet.ru
