contrib/bind9/RELEASE-NOTES-BIND-9.6-ESV.html

   1 <?xml version="1.0" encoding="UTF-8"?>
   2 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
   3 <!--
   4  - Copyright (C) 2011  Internet Systems Consortium, Inc. ("ISC")
   5  -
   6  - Permission to use, copy, modify, and/or distribute this software for any
   7  - purpose with or without fee is hereby granted, provided that the above
   8  - copyright notice and this permission notice appear in all copies.
   9  -
  10  - THE SOFTWARE IS PROVIDED "AS IS" AND ISC DISCLAIMS ALL WARRANTIES WITH
  11  - REGARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OF MERCHANTABILITY
  12  - AND FITNESS.  IN NO EVENT SHALL ISC BE LIABLE FOR ANY SPECIAL, DIRECT,
  13  - INDIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGES WHATSOEVER RESULTING FROM
  14  - LOSS OF USE, DATA OR PROFITS, WHETHER IN AN ACTION OF CONTRACT, NEGLIGENCE
  15  - OR OTHER TORTIOUS ACTION, ARISING OUT OF OR IN CONNECTION WITH THE USE OR
  16  - PERFORMANCE OF THIS SOFTWARE.
  17 -->
  18
  19 <!-- $Id: RELEASE-NOTES-BIND-9.6-ESV.html,v 1.1.24.9 2011-07-24 08:05:48 tbox Exp $ -->
  20
  21 <html xmlns="http://www.w3.org/1999/xhtml"><head><meta http-equiv="Content-Type" content="text/html; charset=UTF-8" /><title></title><link rel="stylesheet" href="release-notes.css" type="text/css" /><meta name="generator" content="DocBook XSL Stylesheets V1.71.1" /></head><body><div class="article" lang="en" xml:lang="en"><div class="titlepage"><hr /></div>
  22
  23   <div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="id3359830"></a>Introduction</h2></div></div></div>
  24
  25     <p>
  26                         BIND 9.6-ESV-R5 is the current production release
  27                         of BIND 9.6.
  28                 </p>
  29     <p>
  30                         This document summarizes changes from BIND 9.6-ESV-R4 to BIND 9.6-ESV-R5.
  31                         Please see the CHANGES file in the source code release for a
  32                         complete list of all changes.
  33                 </p>
  34   </div>
  35
  36   <div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="id3359873"></a>Download</h2></div></div></div>
  37
  38     <p>
  39                         The latest release of BIND 9 software can always be found
  40                         on our web site at
  41       <a href="http://www.isc.org/downloads/all" target="_top">http://www.isc.org/downloads/all</a>.
  42                 There you will find additional information about each release,
  43                         source code, and some pre-compiled versions for certain operating
  44                         systems.
  45                 </p>
  46   </div>
  47
  48   <div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="id3358813"></a>Support</h2></div></div></div>
  49
  50     <p>Product support information is available on
  51       <a href="http://www.isc.org/services/support" target="_top">http://www.isc.org/services/support</a>
  52       for paid support options.  Free support is provided by our user
  53                         community via a mailing list.  Information on all public email
  54                         lists is available at
  55       <a href="https://lists.isc.org/mailman/listinfo" target="_top">https://lists.isc.org/mailman/listinfo</a>.
  56     </p>
  57   </div>
  58
  59   <div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="id3358862"></a>New Features</h2></div></div></div>
  60
  61                 <div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="id3358903"></a>9.6-ESV-R5</h3></div></div></div>
  62
  63                         <div class="itemizedlist"><ul type="disc"><li>
  64 Added a tool able to generate malformed packets to allow testing
  65 of how named handles them.
  66 [RT #24096]
  67 </li></ul></div>
  68                 </div>
  69   </div>
  70
  71   <div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="id3358941"></a>Security Fixes</h2></div></div></div>
  72
  73                 <div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="id3358961"></a>9.6-ESV-R5</h3></div></div></div>
  74
  75                         <div class="itemizedlist"><ul type="disc"><li>
  76 named, set up to be a caching resolver, is vulnerable to a
  77 user querying a domain with very large resource record sets (RRSets)
  78 when trying to negatively cache the response. Due to an off-by-one
  79 error, caching the response could cause named to crash. [RT #24650]
  80 [CVE-2011-1910]
  81 </li><li>
  82 Change #2912 populated the message section in replies to UPDATE requests,
  83 which some Windows clients wanted. This exposed a latent bug that allowed
  84 the response message to crash named. With this fix, change 2912 has been
  85 reduced to copy only the zone section to the reply. A more complete fix
  86 for the latent bug will be released later.
  87 [RT #24777]
  88 </li></ul></div>
  89                 </div>
  90   </div>
  91
  92   <div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="id3359009"></a>Feature Changes</h2></div></div></div>
  93
  94                 <div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="id3359028"></a>9.6-ESV-R5</h3></div></div></div>
  95
  96                         <div class="itemizedlist"><ul type="disc"><li>
  97 Merged in the NetBSD ATF test framework (currently
  98 version 0.12) for development of future unit tests.
  99 Use configure --with-atf to build ATF internally
 100 or configure --with-atf=prefix to use an external
 101 copy. [RT #23209]
 102 </li><li>
 103 Added more verbose error reporting from DLZ LDAP. [RT #23402]
 104 </li><li>
 105 Replaced compile time constant with STDTIME_ON_32BITS.
 106 [RT #23587]
 107 </li></ul></div>
 108                 </div>
 109   </div>
 110
 111   <div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="id3359049"></a>Bug Fixes</h2></div></div></div>
 112
 113                 <div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="id3359056"></a>9.6-ESV-R5</h3></div></div></div>
 114
 115             <div class="itemizedlist"><ul type="disc"><li>
 116 <p>
 117 During RFC5011 processing some journal write errors were not detected.
 118 This could lead to managed-keys changes being committed but not
 119 recorded in the journal files, causing potential inconsistencies
 120 during later processing.  [RT #20256]
 121 </p>
 122 <p>
 123 A potential NULL pointer deference in the DNS64 code could cause
 124 named to terminate unexpectedly. [RT #20256]
 125 </p>
 126 <p>
 127 A state variable relating to DNSSEC could fail to be set during
 128 some infrequently-executed code paths, allowing it to be used whilst
 129 in an unitialized state during cache updates, with unpredictable results.
 130 [RT #20256]
 131 </p>
 132 <p>
 133 A potential NULL pointer deference in DNSSEC signing code could
 134 cause named to terminate unexpectedly  [RT #20256]
 135 </p>
 136 <p>
 137 Several cosmetic code changes were made to silence warnings
 138 generated by a static code analysis tool. [RT #20256]
 139 </p>
 140 </li><li>
 141 When using _builtin in named.conf, named.conf changes were not found
 142 when reloading the config file. Now checks _builtin zone arguments
 143 to see if the zone is re-usable or not. [RT #21914]
 144 </li><li>
 145 After an external code review, a code cleanup was done. [RT #22521]
 146 </li><li>
 147 When signing records, named didn't filter out any TTL changes
 148 to DNSKEY records. This resulted in an incomplete key set. TTL
 149 changes are now dealt with before signing. [RT #22590]
 150 </li><li>
 151 The IN6_IS_ADDR_LINKLOCAL and IN6_IS_ADDR_SITELOCAL macros in win32 were
 152 updated/corrected per current Windows OS. [RT #22724]
 153 </li><li>
 154 Cause named to terminate at startup or rndc reconfig
 155 reload to fail, if a log file specified in the
 156 conf file isn't a plain file. (RT #22771]
 157 </li><li>
 158 named now forces the ADB cache time for glue related data to zero
 159 instead of relying on TTL.  This corrects problematic behavior in cases
 160 where a server was authoritative for the A record of a nameserver for a
 161 delegated zone and was queried to recursively resolve records within
 162 that zone.  [RT #22842]
 163 </li><li>
 164 Fix the zonechecks system test to fail on error (warning in 9.6,
 165 fatal in 9.7) to match behaviour for 9.4. [RT #22905]
 166 </li><li>
 167 The "rndc" command usage statement was missing the "-b" option.
 168 [RT #22937]
 169 </li><li>
 170 Fixed a possible deadlock due to zone re-signing. [RT #22964]
 171 </li><li>
 172 Fixed precedence order bug with NS and DNAME records if both are present.
 173 (Also fixed timing of autosign test in 9.7+) [RT #23035]
 174 </li><li>
 175 The secure zone update feature in named is based on the zone being
 176 signed and configured for dynamic updates. A bug in the ACL processing
 177 for "allow-update { none; };" resulted in a zone that is supposed to
 178 be static being treated as a dynamic zone. Thus, named would try to
 179 sign/re-sign that zone erroneously. [RT #23120]
 180 </li><li>
 181 A new test has been added to check the apex NSEC3 records after DNSKEY
 182 records have been added via dynamic update. [RT #23229]
 183 </li><li>
 184 If a slave initiates a TSIG signed AXFR from the master and the master
 185 fails to correctly TSIG sign the final message, the slave would be left
 186 with the zone in an unclean state. named detected this error too late
 187 and named would crash with an INSIST. The order dependancy has been
 188 fixed. [RT #23254]
 189 </li><li>
 190 If the server has an IPv6 address but does not have IPv6 connectivity
 191 to the internet, dig +trace could fail attempting to use IPv6
 192 addresses. [RT #23297]
 193 </li><li>
 194 Changing TTL did not cause dnssec-signzone to generate new signatures.
 195 [RT #23330]
 196 </li><li>
 197 Have the validating resolver use RRSIG original TTL to compute
 198 validated RRset and RRSIG TTL. [RT #23332]
 199 </li><li>
 200 In "make test" bin/tests/resolver, hold the socket manager lock
 201 while freeing the socket.
 202 [RT #23333]
 203 </li><li>
 204 If named encountered a CNAME instead of a DS record when walking
 205 the chain of trust down from the trust anchor, it incorrectly stopped
 206 validating. [RT #23338]
 207 </li><li>
 208 RRSIG records could have time stamps too far in the future.
 209 [RT #23356]
 210 </li><li>
 211 named stores cached data in an in-memory database and keeps track of
 212 how recently the data is used with a heap. The heap is stored within the
 213 cache's memory space. Under a sustained high query load and with a small
 214 cache size, this could lead to the heap exhausting the cache space. This
 215 would result in cache misses and SERVFAILs, with named never releasing
 216 the cache memory the heap used up and never recovering.
 217
 218 This fix removes the heap into its own memory space, preventing the heap
 219 from exhausting the cache space and allowing named to recover gracefully
 220 when the high query load abates. [RT #23371]
 221 </li><li>
 222 If running on a powerpc CPU and with atomic operations enabled,
 223 named could lock up. Added sync instructions to the end of atomic
 224 operations. [RT #23469]
 225 </li><li>
 226 If OpenSSL was built without engine support, named would have
 227 compile errors and fail to build.
 228 [RT #23473]
 229 </li><li>
 230 Handle isc_event_allocate failures in t_tasks test.
 231 [RT #23572]
 232 </li><li>
 233 ixfr-from-differences {master|slave};
 234 failed to select the master/slave zones, resulting in on diff/journal
 235 file being created.
 236 [RT #23580]
 237 </li><li>
 238 If a DNAME substitution failed, named returned NOERROR. The correct
 239 response should be YXDOMAIN.
 240 [RT #23591]
 241 </li><li>
 242 Remove bin/tests/system/logfileconfig/ns1/named.conf and
 243 add setup.sh in order to resolve changing named.conf issue. [RT #23687]
 244 </li><li>
 245 NOTIFY messages were not being sent when generating
 246 a NSEC3 chain incrementally. [RT #23702]
 247 </li><li>
 248 Signatures for records at the zone apex could go
 249 stale due to an incorrect timer setting. [RT #23769]
 250 </li><li>
 251 The autosign tests attempted to open ports within reserved ranges. Test
 252 now avoids those ports.
 253 [RT #23957]
 254 </li><li>
 255 named, acting as authoritative server for DLZ zones, was not correctly
 256 setting the authoritative (AA) bit.
 257 [RT #24146]
 258 </li><li>
 259 Clean up some cross-compiling issues and added two undocumented
 260 configure options, --with-gost and --with-rlimtype, to allow over-riding
 261 default settings (gost=no and rlimtype="long int") when cross-compiling.
 262 [RT #24367]
 263 </li><li>
 264 When trying sign with NSEC3, if dnssec-signzone couldn't find the
 265 KSK, it would give an incorrect error "NSEC3 iterations too big for
 266 weakest DNSKEY strength" rather than the correct "failed to find
 267 keys at the zone apex: not found" [RT #24369]
 268 </li><li>
 269 nsupdate could dump core on shutdown when using SIG(0) keys. [RT #24604]
 270 </li><li>
 271 Named could fail to validate zones list in a DLV that validated insecure
 272 without using DLV and had DS records in the parent zone. [RT #24631]
 273 </li><li>
 274 A bug in FreeBSD kernels causes IPv6 UDP responses greater than
 275 1280 bytes to not fragment as they should. Until there is a kernel
 276 fix, named will work around this by setting IPV6_USE_MIN_MTU on a
 277 per packet basis. [RT #24950]
 278 </li><li>
 279 To avoid excessive startup time for configurations with large numbers
 280 of zones, an environment variable, BIND9_ZONE_TASKS_HINTS, may now
 281 be set prior to starting named.  Divide your number of zones by 200
 282 to find the recommended setting for this environment variable (i.e.,
 283 if you have 200000 zones, set BIND9_ZONE_TASKS_HINTS to 1000 before
 284 starting named). [RT #25084]
 285 </li></ul></div>
 286                 </div>
 287   </div>
 288
 289   <div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="id3359404"></a>Known issues in this release</h2></div></div></div>
 290
 291     <div class="itemizedlist"><ul type="disc"><li>
 292         <p>
 293           "make test" will fail on OSX and possibly other operating systems.
 294           The failure occurs in a new test to check for allow-query ACLs.
 295           The failure is caused because the source address is not specified on
 296           the dig commands issued in the test.
 297         </p>
 298         <p>
 299           If running "make test" is part of your usual acceptance process,
 300           please edit the file <code class="code">bin/tests/system/allow_query/test.sh</code>
 301           and add
 302           </p><p>
 303             <code class="code">-b 10.53.0.2</code>
 304           </p><p>
 305           to the <code class="code">DIGOPTS</code> line.
 306         </p>
 307       </li></ul></div>
 308   </div>
 309
 310   <div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="id3359438"></a>Thank You</h2></div></div></div>
 311
 312     <p>
 313       Thank you to everyone who assisted us in making this release possible.
 314       If you would like to contribute to ISC to assist us in continuing to make
 315       quality open source software, please visit our donations page at
 316       <a href="http://www.isc.org/supportisc" target="_top">http://www.isc.org/supportisc</a>.
 317     </p>
 318   </div>
 319 </div></body></html>