Oppdatering av DNS-server BIND med fjerning av sårbarhet i implementeringen av DNS-over-HTTPS

Korrigerende oppdateringer for stabile versjoner av DNS-serveren BIND 9.16.28 og 9.18.3 er publisert, samt en ny utgave av den eksperimentelle versjonen 9.19.1. I versjonene 9.18.3 og 9.19.1 er en sårbarhet (CVE-2022-1183) i implementeringen av DNS-over-HTTPS-mekanismen, som støttes fra og med versjon 9.18, rettet. Sårbarheten fører til at prosessen named krasjer hvis TLS-tilkoblingen til handleren basert på HTTP blir brutt tidlig. Problemet berører bare servere, servere som håndterer DNS-over-HTTPS (DoH)-forespørselene. Servere som mottar forespørselene via DNS-over-TLS (DoT) og ikke bruker DoH, er ikke berørt av problemet.

I utgivelsen 9.18.3 er det også lagt til flere funksjonelle forbedringer. Støtte for den andre versjonen av Zone Catalog («Catalog Zones»), definert i den femte utkast til IETF-spesifikasjonen, er inkludert. Zone Catalog tilbyr en ny metode for å opprettholde sekundære DNS-servere, der det i stedet for å definere separate poster for hver sekundær sone på den sekundære serveren, organiseres overføring av et bestemt sett med sekundære soner mellom den primære og den sekundære serveren. Det vil si at ved å konfigurere katalogoverføring likt med overføring av individuelle soner, vil sonene som opprettes på den primære serveren og merkes som inngående i katalogen, automatisk bli opprettet på den sekundære serveren uten behov for å redigere konfigurasjonsfiler.

Den nye versjonen har også lagt til støtte for utvidede feilkoder «Stale Answer» og «Stale NXDOMAIN Answer», som utstedes når et foreldet svar returneres fra cache. Både named og dig har innebygd funksjonalitet for å verifisere eksterne TLS-sertifikater, noe som kan brukes til å organisere streng eller delt autentisering basert på TLS (RFC 9103).

Kilde: opennet.ru