DNS servera BIND atjauninājums ar ievainojamības novēršanu DNS-over-HTTPS īstenošanā

Ir publicētas izlabojumu versijas stabilām DNS servera BIND 9.16.28 un 9.18.3 zarām, kā arī jauna eksperimentālās versijas 9.19.1 izlaidums. Versijās 9.18.3 un 9.19.1 ir novērsta ievainojamība (CVE-2022-1183) DNS-over-HTTPS mehānisma īstenojumā, kas tiek atbalstīts kopš 9.18 zarā. Ievainojamība izraisa named procesa avāriju, ja TLS savienojums ar HTTP bāzes apkalpotāju tiek priekšlaicīgi pārtraukts. Problēma skar tikai serverus, kas apkalpo DNS over HTTPS (DoH) pieprasījumus. Serveri, kas pieņem pieprasījumus pa DNS over TLS (DoT) un neizmanto DoH, šai problēmai nav pakļauti.

Versijā 9.18.3 ir pievienoti arī daži funkcionālie uzlabojumi. Tika pievienota atbalsts otrajai zonu katalogu versijai (“Catalog Zones”), kas definēta piektajā IETF specifikācijas melnrakstā. Zonālu katalogu piedāvā jaunu metodi sekundāro DNS serveru uzturēšanai, kurā, nevis definējot atsevišķas ierakstu sekundārā serverī katrai sekundārajai zonai, starp primārajiem un sekundārajiem serveriem tiek organizēta konkrētu otrējo zonu nodošana. T.i., konfigurējot katalogu nodošanu līdzīgi kā atsevišķu zonu nodošanu, pirmējā serverī izveidotas zonas, kas marķētas kā iekļautas katalogā, automātiski tiks izveidotas sekundārā serverī bez nepieciešamības labot konfigurācijas failus.

Jaunajā versijā ir pievienots arī atbalsts paplašinātajām kļūdu kodēm “Stale Answer” un “Stale NXDOMAIN Answer”, kas tiek izsniegtas, kad novecojusi atbilde tiek atgriezta no cache. “named” un “dig” ir iebūvēta ārējo verifikācijas iespēja TLS sertifikātiem, ko var izmantot stingras vai koplietojamas TLS (RFC 9103) autentifikācijas organizēšanai.

Avots: opennet.lv