F5 Networks BIG-IP : BIND の脆弱性 (K000162286)
high Nessus プラグイン ID 330803
Language:
概要
リモートデバイスに、ベンダーが提供したセキュリティパッチがありません。説明
リモートホストにインストールされている F5 Networks BIG-IP のバージョンは、21.1.0 です。したがって、K000162286 のアドバイザリに記載されている脆弱性の影響を受けます。BIND リゾルバーが DNSSEC 検証を行っている際に、悪意を持って細工されたゾーンに遭遇すると、リゾルバーが過剰に CPU を消費する可能性があります。権威サーバーがクエリを実行する可能性がある状況はありますが、ほとんどの場合、権威のみのサーバーは影響を受けません(参照: https://kb.isc.org/docs/why-does-my-authoritative-server-make-recursive-queries)。この問題は、バージョン 9.11.0 から 9.16.50、 9.18.0 から 9.18.46、 9.20.0 から 9.20.20、 9.21.0 から 9.21.19、9.11.3-S1から9.16.50-S1、9.18.11-S1から9.18.46-S1、9.20.9-S1から9.20.20-S1に影響します。(CVE-2026-1519)DNSがプロビジョニングされていないBIG-IP LTMBIG-IPシステムには脆弱なバージョンのBINDが含まれており、BINDはデフォルトで有効になっています。ただし、LTMがプロビジョニングされ、DNSがプロビジョニングされていない場合、BINDは存在しますが、DNSSEC(Domain Name System Security Extensions)検証を実行するリゾルバーとして使用されません。攻撃には処理パスにあるDNSSEC検証が必要であるため、DNSモジュールがプロビジョニングされていないLTMは脆弱ではありません。DNSでDNSがプロビジョニングされたBIG-IP DNSは、次の条件下で脆弱です。BINDは再帰的リゾルバーとして機能します。デフォルトでは、BIG-IP システムの BIND には再帰番号があります。これは、再帰的なリゾルバーではないことを意味します。再帰 yes を追加して手動で再帰を有効にした場合。named.confファイルに対して、BIND はクライアントに代わって DNSSEC 検証を実行できるため、脆弱です。
これは、recursion /var/named/config/named.conf を実行することで確認できます。結果が再帰番号と表示される場合、この構成は脆弱ではありません。DNS キャッシュは検証リゾルバーとして構成されています。DNS キャッシュインスタンスがタイプがリゾルバー検証に設定されて設定されている場合、BIND の再帰設定に関係なく、DNSSEC 検証をコア機能として実行します。これは、BIND 再帰が無効であっても、このパスを通してシステムが脆弱になる可能性があることを意味します。これは、tmsh list ltm dns cache validating-resolverコマンドを実行することで確認できます。出力が戻された場合、検証リゾルバーのキャッシュが存在し、この構成を使用するときにシステムは脆弱です。プレーンリゾルバーキャッシュタイプ(リゾルバーの検証ではない)は、再帰的解決を実行しますが、DNSSEC 検証は行いません。したがって、この特定の CVE に対して直接は脆弱ではありません。BIND再帰が無効になっている場合でも、システムがBINDのDNSSEC検証ロジックに依存し、攻撃者が制御するドメインに到達する可能性のあるソースからのクエリを受け入れることができる場合でも、潜在的な漏洩は存在します。実際には、BIND 再帰がオフの場合、リゾルバー DNS キャッシュの検証パスが最も可能性の高い方法です。
Tenable は、前述の記述ブロックを F5 Networks BIG-IP セキュリティアドバイザリから直接抽出しています。
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
F5 Solution K000162286 に記載されている非脆弱性バージョンのいずれかにアップグレードしてください。参考資料
プラグインの詳細
深刻度: High
ID: 330803
ファイル名: f5_bigip_SOL000162286.nasl
バージョン: 1.1
タイプ: Local
公開日: 2026/7/29
更新日: 2026/7/29
設定: パラノイドモードの有効化
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3
パーセンタイル: 23.73
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 5.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2026-1519
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:f5:big-ip_domain_name_system, cpe:/a:f5:big-ip_global_traffic_manager, cpe:/h:f5:big-ip
必要な KB アイテム: Host/local_checks_enabled, Host/BIG-IP/hotfix, Host/BIG-IP/modules, Host/BIG-IP/version, Settings/ParanoidReport
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/7/29
脆弱性公開日: 2026/3/25
参照情報
CVE: CVE-2026-1519