Foram publicadas atualizações corretivas para os ramos estáveis do servidor DNS BIND 9.11.37, 9.16.27 e 9.18.1, que corrigem quatro vulnerabilidades:
- CVE-2021-25220 — possibilidade de injeção de registros NS incorretos no cache do servidor DNS (envenenamento de cache), o que pode levar a consultas a servidores DNS incorretos, fornecendo informações falsas. O problema se manifesta em resolvedores que operam nos modos 'forward first' (padrão) ou 'forward only', na condição de comprometimento de um dos forwarders (os registros NS recebidos de um forwarder ficam armazenados no cache e podem resultar em consultas ao servidor DNS errado durante requisições recursivas).
- CVE-2022-0396 — negação de serviço (bloqueio infinito de conexões no estado CLOSE_WAIT), iniciado através do envio de pacotes TCP especialmente formatados. O problema se manifesta apenas com a configuração keep-response-order ativada, que não é usada por padrão, e também quando a opção keep-response-order é especificada na ACL.
- CVE-2022-0635 — possibilidade de falha do processo named através do envio de determinadas consultas para servidor. O problema se manifesta com o uso de cache de consultas DNSSEC verificadas (DNSSEC-Validated Cache), que está ativado por padrão na versão 9.18 (configurações dnssec-validation e synth-from-dnssec).
- CVE-2022-0667 — possibilidade de falha do processo named ao processar consultas DS adiadas. O problema se manifesta apenas na versão BIND 9.18 e é causado por um erro cometido ao reescrever o código do cliente para o processamento recursivo das consultas.
Fonte: opennet.ru
