Aktualizácia DNS servera BIND s odstránením zraniteľnosti v implementácii DNS-over-HTTPS

Boli zverejnené opravy stabilných aktualizácií DNS servera BIND 9.16.28 a 9.18.3, ako aj nový vydanie experimentálnej vetvy 9.19.1. V verziách 9.18.3 a 9.19.1 bola odstránená zraniteľnosť (CVE-2022-1183) v implementácii mechanizmu DNS-over-HTTPS, ktorý sa podporuje od vetvy 9.18. Zraniteľnosť vedie k havárii procesu named, ak je TLS pripojenie na obsluhovateľa založené na protokole HTTP predčasne prerušené. Problém sa týka len servery, obsluhujúcich požiadavky DNS over HTTPS (DoH). Servery, ktoré prijímajú požiadavky cez DNS over TLS (DoT) a nepoužívajú DoH, nie sú touto problémom ovplyvnené.

Vo vydaní 9.18.3 bolo pridaných aj niekoľko funkčných vylepšení. Pridaná podpora druhej verzie katalógu zón („Catalog Zones“), definovanej v piatom prírušnom návrhu špecifikácie IETF. Katalóg zón ponúka nový spôsob udržiavania sekundárnych DNS serverov, kde namiesto určovania na sekundárnom serveri jednotlivých záznamov pre každú sekundárnu zónu sa medzi primárnym a sekundárnym serverom organizuje prenos určitého súboru sekundárnych zón. Teda nastavením transferu katalógu podobne ako pri prenose jednotlivých zón, zóny pridávané na primárnom serveri, označené ako patriace do katalógu, budú automaticky vytvárané na sekundárnom serveri bez potreby úpravy konfiguračných súborov.

V novej verzii bola tiež pridaná podpora rozšírených chybových kódov „Stale Answer“ a „Stale NXDOMAIN Answer“, vydávaných, keď zastaraná odpoveď je vrátená z cache. V named a dig je zabudovaná možnosť overenia vonkajších TLS-certifikátov, čo sa dá použiť na organizáciu prísnej alebo zdieľanej autentifikácie na báze TLS (RFC 9103).

Zdroj: opennet.ru