Mengemas kini pelayan DNS BIND untuk menghapuskan kelemahan dalam pelaksanaan DNS-over-HTTPS

Kemas kini pembetulan kepada cawangan stabil pelayan DNS BIND 9.16.28 dan 9.18.3 telah diterbitkan, serta keluaran baharu cawangan percubaan 9.19.1. Dalam versi 9.18.3 dan 9.19.1, kelemahan (CVE-2022-1183) dalam pelaksanaan mekanisme DNS-over-HTTPS, yang disokong sejak cawangan 9.18, telah diperbaiki. Kerentanan menyebabkan proses yang dinamakan ranap jika sambungan TLS kepada pengendali berasaskan HTTP ditamatkan lebih awal. Isu ini hanya memberi kesan kepada pelayan yang menyediakan DNS melalui permintaan HTTPS (DoH). Pelayan yang menerima DNS melalui pertanyaan TLS (DoT) dan tidak menggunakan DoH tidak terjejas oleh isu ini.

Keluaran 9.18.3 juga menambah beberapa penambahbaikan fungsi. Menambah sokongan untuk versi kedua zon katalog (“Zon Katalog”), yang ditakrifkan dalam draf kelima spesifikasi IETF. Direktori Zon menawarkan kaedah baharu untuk mengekalkan pelayan DNS sekunder di mana, bukannya mentakrifkan rekod berasingan untuk setiap zon sekunder pada pelayan sekunder, satu set zon sekunder tertentu dipindahkan antara pelayan primer dan sekunder. Itu. Dengan menyediakan pemindahan direktori yang serupa dengan pemindahan zon individu, zon yang dibuat pada pelayan utama dan ditandakan sebagai termasuk dalam direktori akan dibuat secara automatik pada pelayan sekunder tanpa perlu mengedit fail konfigurasi.

Versi baharu juga menambah sokongan untuk kod ralat "Jawapan Lapuk" dan "Jawapan NXDOMAIN Lapuk" yang dilanjutkan, yang dikeluarkan apabila jawapan lapuk dikembalikan daripada cache. bernama dan dig mempunyai pengesahan terbina dalam sijil TLS luaran, yang boleh digunakan untuk melaksanakan pengesahan kukuh atau kerjasama berdasarkan TLS (RFC 9103).

Sumber: opennet.ru