MiracleLinux 7unbound-1.4.20-26.el7AXSA:2015-838:01
high Nessus プラグイン ID 289261
Language:
概要
リモートのMiracleLinuxホストにセキュリティ更新プログラムがありません。説明
リモートのMiracleLinux 7ホストには、AXSA:2015-838:01アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。Unbound は、検証、再帰、キャッシング DNSSECリゾルバーです。
Unbound の C 実装は、NLnet Labs によって開発され、維持されました。これは、Verisign labs、Nominet、Kirei および ep.net によって開発された java プロトタイプから取得されたアイデアとアルゴリズムに基づいています。
Unbound はモジュール式コンポーネントのセットとして設計されており、DNSSECセキュア DNS検証および stub-resolvers サーバーとして実行されないが、アプリケーションにリンクされるも容易に可能です。
このリリースで修正されたセキュリティ問題
CVE-2014-86021.5.1 より前の NLnet Labs Unbound における iterator.c は、委譲チェーンを制限していません。これにより、リモートの攻撃者が、多数または無数のリファーラルを通じて、サービス拒否メモリと CPU の消費を引き起こす可能性があります。
修正されたバグ：
* この更新の前は、unbound アンカーを呼び出してルートゾーンキーを更新させる cron ジョブの時間構成に誤りがありました。その結果、unbound アンカーは毎日ではなく月に 1 回呼び出され、 RFC 5011 に準拠していませんでした。cron ジョブが、毎日呼び出される systemd タイマーユニットに置き換えられました。現在、ルートゾーンキーの有効性は毎日 24 時間ウィンドウ内のランダムな時間でチェックされ、確実に RFC 5011 に準拠するようになりました。
* 以前、unbound パッケージは systemd-tmpfiles ユーティリティ用の構成ファイルを、/etc/tmpfiles.d/ ディレクトリにインストールしていました。その結果、/etc/tmpfiles.d/ の管理者によって unbound に対して行われた変更は、パッケージの再インストールや更新時に上書きされる可能性があります。このバグを修正するために、 unbound は構成ファイルを /usr/lib/tmpfiles.d/ ディレクトリにインストールするように修正されました。
その結果、あらゆる変更を含む、/etc/tmpfiles.d/ におけるシステム管理者による構成は、パッケージの再インストールや更新時に保存されるようになりました。
* unbound サーバーのデフォルト構成には、DNSSEC Look-aside Validation （DLV）レジストリを使用する DNS レコードの検証が含まれていました。インターネットシステムコンソーシアム（ISC）は、DLV レジストリサービスを必要ないものとして廃止しようとし、unbound が不必要な手順を実行する可能性があります。このため、unbound サーバーのデフォルト構成から DLV レジストリの使用が削除されました。現在、unbound は DLV レジストリを使用する DNS レコード検証を試行しません。
Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるunboundパッケージやunbound-libsパッケージを更新してください。参考資料
プラグインの詳細
深刻度: High
ID: 289261
ファイル名: miracle_linux_AXSA-2015-838.nasl
バージョン: 1.1
タイプ: local
公開日: 2026/1/16
更新日: 2026/1/16
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.6
Vendor
Vendor Severity: Low
CVSS v2
リスクファクター: Medium
基本値: 4.3
現状値: 3.2
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:P
CVSS スコアのソース: CVE-2014-8602
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:miracle:linux:7, p-cpe:/a:miracle:linux:unbound-libs, p-cpe:/a:miracle:linux:unbound
必要な KB アイテム: Host/local_checks_enabled, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2015/11/30
脆弱性公開日: 2014/12/8
参照情報
CVE: CVE-2014-8602