]> git.ipfire.org Git - thirdparty/bind9.git/commit
Fix rpz wildcard name matching
authorDiego Fronza <diego@isc.org>
Tue, 21 Jul 2020 20:59:04 +0000 (17:59 -0300)
committerEvan Hunt <each@isc.org>
Mon, 27 Jul 2020 20:20:41 +0000 (13:20 -0700)
commit33ae88f08dabea846aee3be3af8a515fd9774ee1
tree89ad651ccf484a480123e201d017aaa910200e2a
parent51babc2cd39d1284919a547ec1381603eea01ed1
Fix rpz wildcard name matching

Whenever an exact match is found by dns_rbt_findnode(),
the highest level node in the chain will not be put into
chain->levels[] array, but instead the chain->end
pointer will be adjusted to point to that node.

Suppose we have the following entries in a rpz zone:
example.com     CNAME rpz-passthru.
*.example.com   CNAME rpz-passthru.

A query for www.example.com would result in the
following chain object returned by dns_rbt_findnode():

chain->level_count = 2
chain->level_matches = 2
chain->levels[0] = .
chain->levels[1] = example.com
chain->levels[2] = NULL
chain->end = www

Since exact matches only care for testing rpz set bits,
we need to test for rpz wild bits through iterating the nodechain, and
that includes testing the rpz wild bits in the highest level node found.

In the case of an exact match, chain->levels[chain->level_matches]
will be NULL, to address that we must use chain->end as the start point,
then iterate over the remaining levels in the chain.
lib/dns/rpz.c