Ažuriranje DNS servera BIND sa ispravkom ranjivosti u implementaciji DNS-over-HTTPS

Objavljene so popravljalne posodobitve stabilnih različic DNS strežnika BIND 9.16.28 in 9.18.3 ter nova izdaja eksperimentalne različice 9.19.1. V različicah 9.18.3 in 9.19.1 je bila odpravita ranljivost (CVE-2022-1183) v implementaciji mehanizma DNS-over-HTTPS, ki je podprt od različice 9.18. Ranljivost povzroči nenadno prekinitev procesa named v primeru, da se TLS povezava na obdelovalnik, temelječ na protokolu HTTP, prezgodaj prekine. Težava vpliva le servere, na strežnike, ki obravnavajo DNS over HTTPS (DoH). Strežniki, ki sprejemajo poizvedbe preko DNS over TLS (DoT) in ne uporabljajo DoH, niso podvrženi težavi.

V izdaji 9.18.3 so dodane tudi nekatere funkcionalne izboljšave. Dodana je bila podpora za drugo različico kataloga con ("Catalog Zones"), ki je opredeljena v petem osnutku specifikacije IETF. Katalog con ponuja nov način vzdrževanja sekundarnih DNS strežnikov, v katerem namesto določanja posameznih zapisov za vsako sekundarno cono na sekundarnem strežniku organiziramo prenos določenega niza sekundarnih con med primarnim in sekundarnim strežnikom. Tj. če konfiguriramo prenos kataloga na enak način kot pri prenosu posameznih con, bodo cone, določene na primarnem strežniku, označene kot vključene v katalog, samodejno ustvarjene na sekundarnem strežniku brez potrebe po spremembi konfiguracijskih datotek.

V novi različici je bila dodana tudi podpora za razširjene kode napak "Stale Answer" in "Stale NXDOMAIN Answer", ki se izdajajo, ko zastareli odgovor vrne iz predpomnilnika. V namenu in dig je vgrajena možnost preverjanja zunanjih TLS-certifikatov, kar se lahko uporablja za organizacijo stroge ali skupne avtentikacije na podlagi TLS (RFC 9103).

Izvor: opennet.ru