リモートホストにインストールされている F5 Networks BIG-IP のバージョンは、17.1.3.3 / 17.5.1.7 / 21.1.0 より前です。したがって、K000162286 のアドバイザリに記載されている脆弱性の影響を受けます。

    BIND リゾルバーが DNSSEC 検証を行っている際に、悪意を持って細工されたゾーンに遭遇すると、リゾルバーが過剰に CPU を消費する可能性があります。権威サーバーがクエリを実行する可能性がある状況はありますが、ほとんどの場合、権威のみのサーバーは影響を受けません(参照: https://kb.isc.org/docs/why-does-my-authoritative-server-make-recursive-queries)。この問題は、バージョン 9.11.0 から 9.16.50、 9.18.0 から 9.18.46、 9.20.0 から 9.20.20、 9.21.0 から 9.21.19、9.11.3-S1から9.16.50-S1、9.18.11-S1から9.18.46-S1、9.20.9-S1から9.20.20-S1に影響します。(CVE-2026-1519)DNSがプロビジョニングされていないBIG-IP LTMBIG-IPシステムには脆弱なバージョンのBINDが含まれており、BINDはデフォルトで有効になっています。ただし、LTMがプロビジョニングされ、DNSがプロビジョニングされていない場合、BINDは存在しますが、DNSSEC(Domain Name System Security Extensions)検証を実行するリゾルバーとして使用されません。攻撃には処理パスにあるDNSSEC検証が必要であるため、DNSモジュールがプロビジョニングされていないLTMは脆弱ではありません。DNSでDNSがプロビジョニングされたBIG-IP DNSは、次の条件下で脆弱です。BINDは再帰的リゾルバーとして機能します。デフォルトでは、BIG-IP システムの BIND には再帰番号があります。これは、再帰的なリゾルバーではないことを意味します。再帰 yes を追加して手動で再帰を有効にした場合。named.confファイルに対して、BIND はクライアントに代わって DNSSEC 検証を実行できるため、脆弱です。
    これは、recursion /var/named/config/named.conf を実行することで確認できます。結果が再帰番号と表示される場合、この構成は脆弱ではありません。DNS キャッシュは検証リゾルバーとして構成されています。DNS キャッシュインスタンスがタイプがリゾルバー検証に設定されて設定されている場合、BIND の再帰設定に関係なく、DNSSEC 検証をコア機能として実行します。これは、BIND 再帰が無効であっても、このパスを通してシステムが脆弱になる可能性があることを意味します。これは、tmsh list ltm dns cache validating-resolverコマンドを実行することで確認できます。出力が戻された場合、検証リゾルバーのキャッシュが存在し、この構成を使用するときにシステムは脆弱です。プレーンリゾルバーキャッシュタイプ(リゾルバーの検証ではない)は、再帰的解決を実行しますが、DNSSEC 検証は行いません。したがって、この特定の CVE に対して直接は脆弱ではありません。BIND再帰が無効になっている場合でも、システムがBINDのDNSSEC検証ロジックに依存し、攻撃者が制御するドメインに到達する可能性のあるソースからのクエリを受け入れることができる場合でも、潜在的な漏洩は存在します。実際には、BIND 再帰がオフの場合、リゾルバー DNS キャッシュの検証パスが最も可能性の高い方法です。

Tenable は、前述の記述ブロックを F5 Networks BIG-IP セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

F5 Networks BIG-IP : BIND の脆弱性 (K000162286)

high Nessus プラグイン ID 330803

バージョン 1.2