DNSコンテンツサーバーであるpdnsに、2つの脆弱性が見つかりました。このため、無効な形式のゾーンレコードによるサービス拒否や、マスター/スレーブのセットアップの過剰な通知パケットが発生する可能性があります。

CVE-2019-10162

PowerDNSコンテンツサーバーで問題が発見されました。このため、権限を持つユーザーが、制御しているMASTERタイプゾーンに細工されたレコードを挿入することで、サーバーを終了させることができます。この問題は、送信通知に使用しようとしているNS/A/AAAAレコードの検索中に解析エラーに遭遇したときに、コンテンツサーバーが終了するために発生します。

CVE-2019-10163

PowerDNSコンテンツサーバー問題が発見されました。このため、認証されたリモートマスターサーバーが、大量の通知メッセージを送信することで、CPUに高い負荷をかけたり、スレーブゾーンへの更新を妨げることもあります。スレーブとして構成されたサーバーのみが、この問題の影響を受けます。

Debian 8「Jessie」では、これらの問題はバージョン 3.4.1-4+deb8u10で修正されました。

お使いのpdnsパッケージをアップグレードすることを推奨します。

pdnsの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: https://security-tracker.debian.org/tracker/pdns

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

DebianDLA-1843-1: pdnsのセキュリティ更新プログラム

high Nessus プラグイン ID 126481

バージョン 1.6