Corrigerende updates zijn gepubliceerd voor de stabiele versies van de DNS-server BIND 9.11.37, 9.16.27 en 9.18.1, waarin vier kwetsbaarheden zijn verholpen:
- CVE-2021-25220 — de mogelijkheid tot het injecteren van onjuiste NS-records in de cache van de DNS-server (cache poisoning), wat kan leiden tot verzoeken naar verkeerde DNS-servers die valse informatie geven. Dit probleem doet zich voor bij resolvers die in de modus ‘forward first’ (standaard) of ‘forward only’ werken, wanneer een van de forwarders gecompromitteerd is (NS-records verkregen van de forwarder worden in de cache opgeslagen en kunnen vervolgens leiden tot verzoeken naar de verkeerde DNS-server bij het uitvoeren van recursieve aanvragen).
- CVE-2022-0396 — een denial of service (oneindige blokkade van verbindingen in CLOSE_WAIT-status), geïnitieerd door het verzenden van speciaal opgemaakte TCP-pakketten. Dit probleem doet zich alleen voor wanneer de instelling keep-response-order is ingeschakeld, die niet standaard wordt gebruikt, evenals wanneer de optie keep-response-order in ACL is gespecificeerd.
- CVE-2022-0635 — de mogelijkheid tot een crash van het named-proces door het verzenden van bepaalde aanvragen naar server. Dit probleem doet zich voor bij het gebruik van de cache voor gevalideerde DNSSEC-aanvragen (DNSSEC-Validated Cache), die standaard is ingeschakeld in de versie 9.18 (instellingen dnssec-validation en synth-from-dnssec).
- CVE-2022-0667 — de mogelijkheid tot een crash van het named-proces bij het verwerken van uitgestelde DS-aanvragen. Dit probleem doet zich alleen voor in de BIND 9.18-versie en wordt veroorzaakt door een fout die is gemaakt bij de herwerking van de clientcode voor recursieve verwerking van aanvragen.
Bron: opennet.ru
