Corrigerende updates zijn uitgebracht voor de stabiele versies van de DNS-server BIND 9.16.28 en 9.18.3, evenals een nieuwe release van de experimentele versie 9.19.1. In de versies 9.18.3 en 9.19.1 is een kwetsbaarheid (CVE-2022-1183) opgelost in de implementatie van de DNS-over-HTTPS mechanisme, dat ondersteund wordt vanaf versie 9.18. De kwetsbaarheid leidt tot een fout in het named-proces wanneer de TLS-verbinding naar de handler op basis van het HTTP-protocol voortijdig wordt verbroken. Het probleem betreft alleen servers, servers die DNS over HTTPS (DoH) verzoeken verwerken. Servers die verzoeken via DNS over TLS (DoT) ontvangen en geen gebruik maken van DoH zijn niet getroffen door het probleem.
In de release 9.18.3 zijn ook enkele functionele verbeteringen toegevoegd. Ondersteuning voor versie twee van cataloguszones (‘Catalog Zones’), zoals gedefinieerd in de vijfde conceptversie van de IETF-specificatie, is toegevoegd. Cataloguszones bieden een nieuwe methode voor het onderhouden van secundaire DNS-servers, waarbij in plaats van afzonderlijke records voor elke secundaire zone op de secundaire server te definiëren, een bepaalde set secundaire zones tussen de primaire en secundaire servers wordt overgedragen. Met andere woorden, door de catalogusoverdracht in te stellen, zoals bij de overdracht van afzonderlijke zones, worden zones die op de primaire server zijn gemaakt en gemarkeerd als behorend tot de catalogus automatisch aangemaakt op de secundaire server zonder dat de configuratiebestanden hoeven te worden aangepast.
In de nieuwe versie is ook ondersteuning toegevoegd voor uitgebreide foutcodes ‘Stale Answer’ en ‘Stale NXDOMAIN Answer’, die worden gegeven wanneer een verouderd antwoord uit de cache wordt teruggegeven. In named en dig is de mogelijkheid ingebouwd om externe TLS-certificaten, wat kan worden gebruikt voor het implementeren van strikte of gezamenlijke authenticatie op basis van TLS (RFC 9103).
Bron: opennet.ru
