リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:1991-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    unbound は 1.20.0 に更新されました。

    * 多数のバグ修正と機能の追加が行われました。
      完全なリストについては、次の場所にある変更ログを参照してください。
      /usr/share/doc/packages/unbound/Changelog または https://www.nlnetlabs.nl/projects/unbound/download/

    注目すべき変更: 

    * DLV を削除しました。DLV は、unbound 1.5.4 以降に廃止されており、使用を中止することが推奨されています。dlv オプションを使用すると、警告が表示されます。
    * EDNS の不完全な手順を削除します。タイムアウト後に EDNS なしで再クエリしません。
    * DNS over HTTPS を追加します
    * libunbound は、メジャーバージョン 8 にアップグレードされました

    セキュリティの修正: 
    * CVE-2023-50387: DNSSEC 検証の複雑性を悪用して、CPU リソースを枯渇させ、DNS リゾルバーをストールさせる可能性があります。(bsc#1219823)
    * CVE-2023-50868: NSEC3 直近のエンクロージャープルーフは、CPU を使い果たす可能性があります。
      [bsc#1219826]
    * CVE-2022-30698: サブドメイン委任を導入することによる、新しい「ゴーストドメイン名」攻撃。[bsc#1202033]
    * CVE-2022-30699: ほぼ期限切れの委任情報を更新することによる、新しい「ゴーストドメイン名」攻撃。[bsc#1202031]
    - CVE-2022-3204: NRDelegation 攻撃により、制御されないリソース消費が引き起こされます (非応答委任攻撃)。[bsc#1203643]

    パッケージの変更: 

    * unbound.service で sudo の代わりにプレフィックスを使用
    * 不要になった BuildRequires: libfstrm-devel and libprotobuf-c-devel を削除します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新 : unbound (SUSE-SU-2024:1991-1)

medium Nessus プラグイン ID 200411

バージョン 1.3