עדכון שרת DNS BIND כדי למנוע פגיעות ביישום DNS-over-HTTPS

עדכונים מתקנים לענפים היציבים של שרת BIND DNS 9.16.28 ו-9.18.3 פורסמו, כמו גם מהדורה חדשה של הענף הניסיוני 9.19.1. בגירסאות 9.18.3 ו-9.19.1 תוקנה פגיעות (CVE-2022-1183) ביישום מנגנון DNS-over-HTTPS, הנתמך מאז ענף 9.18. הפגיעות גורמת לתהליך הנקוב לקרוס אם חיבור ה-TLS למטפל מבוסס HTTP נפסק בטרם עת. הבעיה משפיעה רק על שרתים המשרתים בקשות DNS באמצעות HTTPS (DoH). שרתים שמקבלים שאילתות DNS על TLS (DoT) ואינם משתמשים ב-DoH אינם מושפעים מבעיה זו.

מהדורה 9.18.3 גם מוסיפה מספר שיפורים פונקציונליים. נוספה תמיכה בגרסה השנייה של אזורי הקטלוג ("אזורי קטלוג"), המוגדרת בטיוטה החמישית של מפרט IETF. Zone Directory מציעה שיטה חדשה לתחזוקת שרתי DNS משניים שבה, במקום להגדיר רשומות נפרדות עבור כל אזור משני בשרת המשני, מועברת קבוצה מסוימת של אזורים משניים בין השרת הראשי והמשני. הָהֵן. על ידי הגדרת העברת ספריה בדומה להעברת אזורים בודדים, אזורים שנוצרו בשרת הראשי ומסומנים כלולים בספרייה ייווצרו אוטומטית בשרת המשני ללא צורך בעריכת קבצי תצורה.

הגרסה החדשה מוסיפה גם תמיכה בקודי שגיאה מורחבים "Stale Answer" ו-"Stale NXDOMAIN Answer", המונפקים כאשר תשובה מעופשת מוחזרת מהמטמון. ל-named ו-dig יש אימות מובנה של תעודות TLS חיצוניות, שניתן להשתמש בהן כדי ליישם אימות חזק או שיתופי המבוסס על TLS (RFC 9103).

מקור: OpenNet.ru