リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2025:01787-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 9.20.9 に更新してください。

    - 修正されたセキュリティ問題:

      * CVE-2025-40775無効な TSIG を持つ NS メッセージの処理によって引き起こされるアサーションエラーによるサービス拒否bsc#1243361。
      * CVE-2024-12705クエリの高負荷で発生する DNS-over-HTTPS の問題による、CPU およびメモリの枯渇bsc#1236597。
      * CVE-2024-11187追加データセクションで複数のレコードを含む応答につながるクエリを処理する際の CPU 枯渇bsc#1236596

    - 変更ログ：

      - 機能の変更:
        * 複雑なコード変更に関連するリスクを回避するために、BIND 9.20.2 で導入された NSEC3 検索のパフォーマンス最適化が元に戻されました。
        * 構成条項 parent-agents および primaries の名前が remote-servers に変更されます。
        * query-source および query-source-v6 にパラメーターなしを追加して、IPv4 または IPv6 の Upstream クエリを無効にしますが、IPv4 または IPv6 上のクライアントからのクエリのリッスンを許可します。
        * dnssec-ksr は現在 KSK ロールオーバーをサポートするようになりました。
        * RFC 7314転送サマリーでの EXPIRE オプションを出力します。
        * max-records-per-type の超過に対して役立つログメッセージを追加。
        * 鍵ファイルが利用可能になった場合には鍵管理を強化します。

      - 新機能
        * EDE 20 に対するサポートを追加します権限がありません。
        * EDE 7 および EDE 8 のサポートを追加します。
        * 「dig」は、ネゴシエーション中に受信した BADVERS メッセージを表示できるようになりました。
        * 「rndc」コマンドを追加して、いくつかの統計カウンターをリセットします。
        * min-transfer-rate-in 構成オプションを実装します。
        * HTTPS レコードクエリをホストコマンドラインツールに追加します。
        * sig0key-checks-limit および sig0message-checks-limit を実装します。
        * EDE コード 1 および 2 向けのサポートを追加します。
        * rndc コマンドを追加して、jemalloc プロファイリングをトグルします。
        * 複数の拡張 DNS エラーのサポートを追加します。
        * 古いレコードの有効期限を印刷します。
        * Extended DNS Error Code 22 の追加 - 到達可能な認証局がありません。
        * 新しいオプションを追加し、クライアントリクエストごとの送信クエリの最大数を構成します。
        * すべての発信 TLS 接続には、Server Name IndicationSNI 拡張を使用します。
        * ビルトイン bind.keys ファイルを新しい 2025 IANA root キーで更新します。
        * 2025 年 1 月に公開予定の新しい root キー ID 38696 用の bind.keys に initial-ds エントリを追加します。

      - バグ修正:
        * NSEC3 の直近含む検索の改善を復元します。
        * EDNS サポートの欠落したキャッシュを停止します。
        * タイムアウト応答用のリゾルバー統計カウンターを修正。
        * ネスト化された DNS 検証により、アサーション失敗が発生する可能性があります。
        * 「named-checkconf」でメモリ再利用が完了するまで待機します。
        * 「max-clients-per-query」が少なくとも「clients-per-query」であることを確認してください。
        * バリデーターコードへの書き込みを修正します。
        * DNSKEY で NOAUTH/NOCONF フラグを強制しません。
        * いくつかの軽微な DNSSEC タイミング問題を修正します。
        * 解決中の CNAME/DNAME 処理の不整合を修正します。
        * Dual-stack-servers 構成オプションを修正。
        * 永続的なアクティブクライアントの増加を引き起こすデータ競合を修正。
        * 署名されていない DS および DNSKEY レコードの延期された検証を修正します。
        * 再構成中の RPZ の競合状態を修正します。
        * 「CNAME およびその他のデータチェック」は、すべてのタイプに適用されません。
        * プライベート DNSKEY および RRSIG 制約を緩和します。
        * NSEC/DS/NSEC3 RRSIG チェックを dns_message_parse() から削除します。
        * RPZ「passthru」を通じて処理された ANY クエリの TTL 問題を修正します
        * dnssec-signzone は、オフライン設定時に NULL キーをチェックする必要があります。
        * ゾーン転送情報をクエリする際の統計チャネルのバグを修正。
        * 再帰クライアントをダンプする際のアサーションエラーを修正します。
        * dns_resolver_dumpfetches() からアクティブリゾルバーフェッチをダンプします。
        * 最近期限切れのレコードは、今後タイムスタンプ付きで返される可能性があります。
        * YAML 文字列が delv の負の応答で終了しません。
        * オフラインになっているキーに関連する dnssec-signzone のバグを修正します。
        * メモリ制限を ADB データベースアイテムのみに適用します。
        * ゾーン/キャッシュデータベースでの不必要なロッキングを回避します。
        * 拡張 DNS エラー 22到達可能な認証局がありませんのレポートを修正します。
        * 大規模な更新を処理する際の nsupdate のハングアップを修正。
        * 更新ポリシールールの処理中にサーバーをリロードする際の潜在的なアサーション失敗を修正します。
        * attach-cache を使用するときの再構成でキャッシュを保持します。
        * グルーキャッシュによるパフォーマンスの低下を解決。
        * 取り消されたキーで非 DNSKEY RRsets に署名する dnssec-signzone を修正します。
        * resolv.conf の未知のディレクティブの不適切な処理を修正します。
        * で応答ポリシーゾーンと カタログゾーンを修正します $INCLUDE 定義済みのステートメントです。
        * TLS が設定されている場合、通知に TLS を使用します。
        * TLS を使用するように構成された通知が、平文 UDP や TCP ではなく、TLS で送信されるようになりました。また、notify 用の TLS 構成のロードに失敗すると、エラーが発生します」が発生します。
        * {&dns} は SVCB の dohpath で {?dns} と同等に有効です。
        * dig は、「dohpath=/some/path?key=value{&dns}」などの、{&dns} を含む dohpath URI テンプレートで有効な SVCB レコードの解析に失敗していました。
        * 空白の非終端を持つ名前に対する NSEC3 の直近参照検索を修正します。
        * 承認的な応答を生成する際に NSEC3 の直近のエンクロージャを見つけるための以前のパフォーマンスの最適化により、サーバーが正しくない NSEC3 レコードを返す場合がありました。これは修正されました。
        * 値 0 の recursive-clients ステートメントは、アサーションの失敗を誘発しました。
        * BIND 9.20.0 recursive-clients 0 を破壊します 。これは現在修正されました。
        * rndc.conf のホスト名の解析が壊れていました。
        * DSCP サポートが削除された際、rndc.conf のホスト名の解析が意図せず破損し、アサーション失敗が発生しました。これは修正されました。
        * [+-]option=<value> 形式の「dig」オプションは、印刷されたコマンドラインに値を表示できませんでした。これは修正されました。
        * SSL_CTX_use_certificate_chain_file() と SSL_CTX_use_PrivateKey_file() のエラーを個別に記録することで、TLS 構成エラーをさらに可視化します。
        * アサーション失敗を引き起こす可能性のある ADB 検索をキャンセルする際の競合状態を修正します。
        * SERVFAIL キャッシュメモリクリーニングがより積極的になりました。サーバーが一度に多くの SERVFAIL に遭遇した場合、大量のメモリを消費することがなくなりました。
        * 前のプライマリ XoT サーバーが到達不能としてマークされたときの次のプライマリ XoT サーバーの試行を修正。
        * いくつかの事例で、前のサーバーが到達不能としてマークされたとき、named がプライマリリストの次のプライマリサーバーの試行に失敗することがありました。これは修正されました。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15 / SLES15 のセキュリティ更新 : bind (SUSE-SU-2025:01787-1)

high Nessus プラグイン ID 237601

バージョン 1.2