Debian dsa-5621 : bind9 - セキュリティ更新
high Nessus プラグイン ID 190511
Language:
概要
リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。説明
リモートの Debian 11 および 12 ホストには、dsa-5621 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- 「named」の DNS メッセージ解析コードに、計算が複雑すぎるセクションが含まれています。
これは、一般的な DNS トラフィックでは問題を引き起こしませんが、細工されたクエリと応答により、この欠陥を悪用することで、影響を受ける「named」インスタンスに過剰な CPU 負荷がかかる可能性があります。この問題は、権威サーバーと再帰リゾルバーの両方に影響を与えます。この問題は、BIND 9 バージョン 9.0.0 から 9.16.45、9.18.0 から 9.18.21、9.19.0 から 9.19.19、9.9.3-S1 から 9.11.37-S1、9.16.8-S1 から 9.16.45-S1、および 9.18.11-S1 から 9.18.21-S1 に影響します。(CVE-2023-4408)
- DNS プロトコルの DNSSEC の特定の部分 (RFC 4033、4034、4035、6840 および関連する RFC) により、リモート攻撃者が、1 つ以上の DNSSEC 応答を介してサービス拒否 (CPU 消費) を引き起こすことが可能です (別名 KeyTrap)。懸念の 1 つは、多数の DNSKEY および RRSIG レコードを持つゾーンがある場合に、アルゴリズムが DNSKEY と RRSIG レコードのすべての組み合わせを評価する必要があることをプロトコルの仕様が示唆していることです。(CVE-2023-50387)
- DNS プロトコルの Closest Encloser Proof 側面 (RFC 9276 ガイダンスがスキップされた場合の RFC 5155) により、リモート攻撃者が、ランダムサブドメイン攻撃の DNSSEC 応答を介してサービス拒否 (SHA-1 計算のための CPU 消費) を引き起こすことが可能です (別名 NSEC3 問題)。RFC 5155 仕様は、アルゴリズムが特定の状況でハッシュ関数の反復を何千回も実行する必要があることを示唆しています。(CVE-2023-50868)
- クエリ処理コードの欠陥により、次の場合に、アサーションエラーで「named」が早期に終了する可能性があります。- 「nxdomain-redirect <domain>;」が構成され、リゾルバーが、通常は権威のある NXDOMAIN 応答をもたらす RFC 1918 アドレスの PTR クエリを受信します。この問題は、BIND 9 バージョン 9.12.0 から 9.16.45、9.18.0 から 9.18.21、9.19.0 から 9.19.19、9.16.8-S1 から 9.16.45-S1、および 9.18.11-S1 から 9.18.21-S1 に影響します。(CVE-2023-5517)
- DNS64 と serve-stale の間の不適切な相互作用により、これらの機能が両方とも有効な場合、再帰的解決中にアサーション失敗で「named」がクラッシュする可能性があります。この問題は、BIND 9 バージョン 9.16.12 から 9.16.45、9.18.0 から 9.18.21、9.19.0 から 9.19.19、9.16.12-S1 から 9.16.45-S1、および 9.18.11-S1 から 9.18.21-S1 に影響します。(CVE-2023-5679)
- キャッシュデータベースの効率を維持するために、再帰リゾルバーとして実行されている「named」は、データベースのクリーンアップを試行することがあります。非同期のメソッドを含む、いくつかのメソッドを使用します。クリーンアップ可能なキャッシュ要素を指す小さなメモリのチャンクが最初に割り当てられ、その後の処理のためにキューに入れられます。リゾルバーがこのタイプのキャッシュデータベースメンテナンスをトリガーするクエリパターンを継続的に処理している場合、「named」がタイムリーにクリーンアップイベントを処理できない可能性があることがわかりました。これにより、キューに入れられたクリーンアップイベントのリストが時間の経過とともに無限に大きくなり、構成された「max-cache-size」制限を大幅に超える可能性があります。この問題は、BIND 9 バージョン 9.16.0 から 9.16.45、9.16.8-S1 から 9.16.45-S1 に影響します。(CVE-2023-6516)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
bind9 パッケージをアップグレードしてください。参考資料
https://packages.debian.org/source/bookworm/bind9
https://packages.debian.org/source/bullseye/bind9
https://security-tracker.debian.org/tracker/source-package/bind9
https://security-tracker.debian.org/tracker/CVE-2023-4408
https://security-tracker.debian.org/tracker/CVE-2023-50387
https://security-tracker.debian.org/tracker/CVE-2023-50868
https://security-tracker.debian.org/tracker/CVE-2023-5517
プラグインの詳細
深刻度: High
ID: 190511
ファイル名: debian_DSA-5621.nasl
バージョン: 1.6
タイプ: local
エージェント: unix
ファミリー: Debian Local Security Checks
公開日: 2024/2/14
更新日: 2024/7/26
サポートされているセンサー: Nessus Agent, Agentless Assessment, Frictionless Assessment Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.1
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 5.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2023-6516
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:bind9utils, p-cpe:/a:debian:debian_linux:dnsutils, p-cpe:/a:debian:debian_linux:bind9-host, p-cpe:/a:debian:debian_linux:bind9-dnsutils, p-cpe:/a:debian:debian_linux:bind9, p-cpe:/a:debian:debian_linux:bind9-utils, p-cpe:/a:debian:debian_linux:bind9-libs, p-cpe:/a:debian:debian_linux:bind9-doc, cpe:/o:debian:debian_linux:12.0, p-cpe:/a:debian:debian_linux:bind9-dev
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2024/2/14
脆弱性公開日: 2024/2/13
参照情報
CVE: CVE-2023-4408, CVE-2023-50387, CVE-2023-50868, CVE-2023-5517, CVE-2023-5679, CVE-2023-6516
IAVA: 2024-A-0103-S