リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3426-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    リリース 9.20.26 にアップグレードしてください。

    セキュリティの問題を修正:

    - CVE-2026-10723:NSEC3 レコードの不適切な受け入れ(bsc#1271982)。
    - CVE-2026-10822:PRIVATEDNS アルゴリズムを使用するキーレコードが、予期しない終了につながる可能性があります(bsc#1271983)。
    - CVE-2026-11331:ワイルドカード CNAME RPZ ポリシーバイパスの可能性(bsc#1271984)。
    - CVE-2026-11605:DNSSEC 署名済みレコードの不要な検証(bsc#1271985)。
    - CVE-2026-11622:構成された制限を超える潜在的なメモリ使用率(bsc#1271986)。
    - CVE-2026-11721:ラベルカウントの不一致、RRSIG、ワイルドカードによりキャッシュポイズニングが起こり得ます(bsc#1271987)。
    - CVE-2026-12617:CNAME または DNAME によるレコード順序ベースの予期しない終了(bsc#1271988)。
    - CVE-2026-13204:NSEC および NSEC3 の両方が存在する特定の状況における予期しない終了(bsc#1271989)。
    - CVE-2026-13321:ゾーン外の NSEC Next フィールドを介した DNSSEC 検証バイパス(bsc#1271990)。

    その他の更新およびバグ修正:

    - リリース 9.20.26:
      * DNSSEC 検証がキャンセルされたら、速やかにメモリを再利用します。
      * 削除された機能:
        * query.c でセカンダリバリデーターを削除します。
        * UDP タイムアウトを繰り返した後の効果のない TCP フォールバックを削除します。
      * 機能変更:
        * 一致しないクエリ ID のある UDP 応答の受信時に、TCP にフォールバックします。
        * 照会からキャッシュされるグルーレコードの数を制限します。
        * DS クエリに対する CNAME 応答におけるリゾルバーストールを修正します。
      * バグ修正:
        * インライン署名を有効にした状態での DNS UPDATE 処理のバグを修正します。
        * コピーする前にプライベートレコードを適切に検出します。
        * 紹介 DS の受け入れを強化します。
        * 否定的な応答を保留中の NSEC と合成しないでください。
        * NSEC 署名者が検証する名前以上であることを確認してください。
        * CD=1 NXDOMAIN の DNSSEC 検証済みキャッシュデータを退去させないでください。
        * deny-answer-aliases 構成バイパスの問題を修正します。
        * フォワーダーからの外部紹介を拒否します。
        * 日和見型 TLS モードを使用する際の、TLS (XoT)でのゾーン転送の問題を修正します。
        * 検証されていないオプトアウト NSEC3 が、セキュリティ保護で受け入れられる可能性があります。
        * ワイルドカード署名者と NOQNAME 署名者の一致をチェックします。
        * キャッシュされた SERVFAIL 応答によって引き起こされる CNAME 解決失敗を修正します。
        * DNSSEC 検証中に、サポートされていない RSA DNSKEY シェイプを拒否します。
        * GeoIP2 文字列マッチングのバグを修正します。
        * DNS-over-HTTPS(DoH)クォータの構成の問題を修正します。
        * TSIG クエリへの返信を切り捨てても、リゾルバーがストールしなくなりました。
        * DNSKEY RRset をクラス ANY で削除する更新を無視します。
        * TCP 読み取りコールバックの 0 バイト読み取りを無視します。
        * zone-statistics が full に設定されている場合、ゾーンごとのグルーステータスのみを出力します。
        * サーバーを再構成する際に、CDS/CDNSKEY レコードが削除されませんでした。
        * RBTDB のワイルドカードゾーンの空の非端末をクエリするときのクラッシュを修正します。
        * ピアがすでに閉じた発信 TCP 接続の再利用を停止します。
        * 頂点 DNAME 下の名前に対する DNSSEC 検証の失敗を修正します。
          * リゾルバーは、CNAME をキャッシュするときに、同じ名前にある他の RRset を削除するようになりました。
        * dns64 と組み合わせた nxdomain-redirect を修正します。
        * DNAME DNS64 再起動後のオーナーのケースを修正します。
        * REDIRECT フラグが必要ないときにクリアします。
        * bind9.xsl での出力エスケープを無効にします。
        * 不適切に構成されたセカンダリ署名者のクラッシュを修正します。
        * 同じキーに対する同時 TKEY DELETE のクラッシュの可能性を修正します。
        * メタタイプをカバーする RRSIG レコードを拒否します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15 / SLES15 のセキュリティ更新 : bind (SUSE-SU-2026:3426-1)

high Nessus プラグイン ID 331433

バージョン 1.1