リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21550-1 アドバイザリで言及されています。

    バージョン 1.25.2 に更新してください。

    修正されたセキュリティ問題:

    - CVE-2026-14586:同時実行性の高い DNS-over-QUIC 環境に対する「libngtcp2」でのアサーションによる DoS(bsc#1271879)。
    - CVE-2026-32665:「quic-size」バジェットバイパスによるリモートの DNS-over-QUIC サービス拒否(bsc#1271873)。
    - CVE-2026-40691:TCP 上の単一の不適切な DNSCrypt クエリを介したヒープオーバーフローによる DoS(bsc#1271875)。
    - CVE-2026-41637:クライアント終端 DNS-over-QUIC クエリ(bsc#1271891)が適切にアカウントされないことによる、解決サービスの劣化。
    - CVE-2026-42955:ドメインウィンドウGhost、A/AAAA グルーレコード(bsc#1271892)に対して、最大 1 つのキャッシュされた TTL 構成値だけ延長できます。
    - CVE-2026-44621:「unwanted-reply-threshold」で構成された Libunbound アプリケーションは、最終的に突然終了される可能性があります(bsc#1271876)。
    - CVE-2026-44687:「harden-below-nxdomain」ロジックでの off-by-one エラーにより、正当な親の「NXDOMAIN」によってスタブ/転送ゾーンをシャドーすることがあります(bsc#1271893)。
    - CVE-2026-44690:「RRSIG.labels」操作によるクロスゾーンワイルドカードキャッシュポイゾニング(bsc#1271877)。
    - CVE-2026-46582:ワイルドカード「rrset」を別のデータとして再生すると、サーバーの期限切れの返信パス(bsc#1271894)でポイズニングが発生します。
    - CVE-2026-50045:DNSSEC 署名付き親(bsc#1271878)の下で深くネスト化された名前に対する単一クライアントクエリを介した「max-global-quota」のバイパス。
    - CVE-2026-50046:DoT 転送クエリが押し出されたときのエラーパスでのヒープ use-after-free の可能性(bsc#1271882)。
    - CVE-2026-50243:「response-ip」/「rpz」は、SERVFAIL を返す代わりに偽造応答を書き換えることができます(bsc#1271880)。
    - CVE-2026-50248:偽造構成のプライマリホスト名が、auth/rpz ゾーンの XFR で受け入れられました(bsc#1271881)。
    - CVE-2026-50251:攻撃者が供給した「0.0.0.0'/'::」グルーが、防御的なフルキャッシュフラッシュを発生させます(bsc#1271883)。
    - CVE-2026-50252:スレッドごとにソースポートpopulationをマッピングすることによるキャッシュポイズニング攻撃の可能性(bsc#1271884)。
    - CVE-2026-54478:「answer-cookie:yes」を伴うプロキシプロトコルが使用される場合にクッキーをバイパスDNSします(bsc#1271895)。
    - CVE-2026-55708:「unbound-control」を使用してビューにローカルデータを追加する際のプライバシー/構成の問題(bsc#1271896)。
    - CVE-2026-55717:「serve-expired-client-timeout」および「response-ip」CNAME リダイレクトにより、クラッシュが引き起こされる可能性があります(bsc#1271886)。
    - CVE-2026-55973:「dns-error-reporting: yes」を設定すると、スタックオーバーフローによる DoS によってクラッシュが発生します(bsc#1271874)。
    - CVE-2026-55990:DNSCrypt 不適切な構成による、細工されたクライアント UDP クエリによるクラッシュ(bsc#1271887)。
    - CVE-2026-55991:「libngtcp2」におけるリモートの DNS-over-QUIC(DoQ)フロー制御の解決可能なアサーションの失敗(bsc#1271888)。
    - CVE-2026-56416:バリデーターがドメイン名(bsc#1271889)を含む RDATA を正規化する際に発生する可能性があるヒープバッファオーバーフロー。
    - CVE-2026-56444:「discard-timeout」および「serve-expired-client-timeout」が異常な構成で組み合わさる場合の解決サービスの劣化(bsc#1271890)。

    その他の更新およびバグ修正:

    - バージョン 1.25.2:
      - 特徴：
        * TTL 動作の変更:TTL 0 に達したキャッシュレコードの有効期限が切れます。
          TTL 0 upstream の回答は、cachedb によりキャッシュされなくなりました。
          serve-expired-reply-ttl が元の TTL 値で制限されるようになりました。
          RFC 8767 セクション 4 に準拠するために TTL デコーディングが更新されました
        * 新しい統計を追加します:num.queries.replyaddr_limit および requestlist.current.replies
        * デバッグを容易にするために、システム全体の Linux スレッド ID をログに記録するために「log-thread-id」構成オプションを追加しました
        * RFC 9558 にしたがって ECC-GOST12 サポートを追加します(contrib/gost12.patch として利用可能)
        * 合成された DNAME TTL=0 が 1 秒の猶予期間内でキャッシュから提供されることを許可し、TTL=0 DNAME の再帰を削減します(RFC 2308)
        * DoT/DoH/DoQ を修正し、完全な再起動を必要とせずに、構成のリロード時に証明書をリロードします。fast_reload は、tls-service-key、tls-service-pem、および tls-cert-bundle に対する変更をサポートするようになりました
        * コントロールインターフェイス構成でip@port表記を許可します
        * iter-scrub-rrsig オプションを追加します(デフォルト:8)スクラバーが処理する RRSIG の数を制限します
        * 使用する TLS プロトコルバージョンを選択するための「tls-protocols」構成オプションの追加TLS;TLSv1.2 はデフォルトで再度有効化されています
        * 名前付きスレッドの pthread_setname_np サポートを追加します
      - バグ修正:
        * pythonmod_init 上の pythonmod におけるハンドル漏洩を修正します
        * mesh_detect_cycle_found() がメッシュ状態なしに呼び出された場合のクラッシュを修正
        * 元の文字列が変更されている場合は、modstack_call_initを修正して使用するようにします
        * fr_atomic_copy_cfgを修正します
        * HTTP 経由でダウンロードする際の auth-zone の空のラベルを修正$ORIGIN
        * respip と dns64 を修正し、同時に使用可能にします。RPZ が DNS64
        * ポートが interface-automatic-ports にリストされているときに HTTPS および QUIC が有効でない問題を修正します
        * wait-limit-cookie: 0 を許可して、クッキーが検証する待機制限を無効にします
        * ユニットテストの失敗を引き起こす OpenSSL の FIPS モードを修正します
        * UDP のみをドロップし、ストリーム接続ではなくするように、 discard-timeout を修正します
        * wait-limit を超過した場合、SERVFAIL で返信
        * 無効なクエリタイプのための拡張 DNS エラーコードを追加します
        * 非推奨の SWIG $function を以下で置換 $action
        * stub/forward ゾーンでホスト名を使用している場合に発生する可能性がある循環依存関係についての警告をログに記録します
        * ターゲットアドレスの追加時にNAT64合成を委任ポイントに移動することで、NAT64 のインフラキャッシュを修正します
        * メッシュ領域での破棄タイムアウトパケットアカウンティングを修正します
        * IANA ポートリストを更新します
        * fast_reload後にデーモンからワーカーへ DNSTAP 構成をコピーします
        * HTTP/2 ストリームメッシュ状態の削除と、postpone_dropと送信の失敗のドロップ処理を修正します
        * ログ出力でのより明確な分類による THROWAWAY および(DNSSEC)LAME 応答のログ
        * エンコーディングエラーとエンコーディング応答の間の EDE 削除ロジックの整合性を修正します
        * forward-no-cache または stub-no-cache が設定されている場合に保存されない EDNS サブネットスコープゼロクエリを修正します
        * QUIC が有効になっていない限り、quic_table を初期化しない
        * iter_scrub_ns、iter_scrub_cname、max_global_quotaオプションをコピーするためのfast_reloadを修正します
        * IPv4/IPv6 検索後にコピーされるホスト名を持つ allow-notify エントリを修正します。URL のみが構成されている場合のホスト名検索のスキップを修正します
        * 再試行中の do-not-query-address との NAT64 の不一致を修正します
        * RA フラグを設定しない cachedb の積極的な否定応答を修正
        * ZONEMD RRtype を含む RPZ ゾーンをロードした後の root キープライミングの失敗を修正します
        * ローカルゾーンのalways_refuseを修正し、DS クエリもブロックします
        * フォワーダー/スタブが no-cache オプションを使用する際の外部 cachedb でのキャッシュ検索/保存を修正
        * cachedb が期限切れの偽造データを偽造ではないものとして返すことを修正します
        * 検証再帰と EDNS サブネットに関するバリデーターのチェックされていない状態処理を修正します
        * 期限切れの計算デバッグルーチンにおける DNAME 検索フラグとアサーションを修正します
        * SVCB/HTTPS レコードを介した DNS 再バインドのバイパスを修正します。private-address は、フィルターに一致する SVCB および HTTPS のレコードも省略するようになりました
        * unbound-checkconf での未使用の「nodefault」ローカルゾーン構成について警告します
        * メモリエラー処理での表示のロック/ロック解除を修正します
        * キャッシュ TTL ポリシーを、ワイヤパスの DNAME と合成された CNAME に適用します
        * fast_reload のHTTPリスニングポートの検出を修正します
        * CNAME 合成のためのゾーン外の DNAME レコードの無視を修正します
        * ゾーン転送での無効な HTTP コンテンツの長さ/チャンクサイズのチェックおよび RR rdata フィールド長の検証を修正し、ヒープバッファオーバーフローの読み取りエラーを防止します
        * 空のパケットでのサービスコールバックに対する多層防御を修正
        * スレッドとの共有メモリ統計を修正します
        * 検索が失敗した後、グローバルキャッシュに SERVFAIL が保存されないように EDNS クライアントサブネットを修正します。代わりに、サブネットキャッシュに短命の失敗エントリを保存します
        * alloc_reg_obtain が空のリストに遭遇したときのコアダンプに関連するメモリ破損を修正します
        * クライアントが TCP 経由で EOF を送信する場合の RFC 7766 コンプライアンスを修正します
        * 同じクエリが複数のストリームに表示される場合の DoH セッションのクリーンアップを修正します
        * tls-service-pem に対する TLS コンテキストセットアップを修正します
        * 32 ビットの符号付き/符号なしの値に対する rdata_copy での TTL 比較を修正します
        * サブネット SERVFAIL ストアのメモリリークを修正します
        * ジグル攻撃の修正:サーバーはエラーケースのエラーに応答し、着信クエリの一部を反映しなくなりました
        * EDNS 拡張 RCODE リフレクションを修正:サーバーは CHAOS クラスクエリの後に拡張 RCODE 値をエコーしなくなります
        * YXDOMAIN の反復子 RCODE 処理を修正:DNAME レコードを含む YXDOMAIN の回答のみを受け入れます
        * ダウンロードされた権限ゾーンの dnames を展開する際の境界チェックの欠落を修正し、切り捨てられた AXFR パケットからの無効な形式のコンテンツを防止します
        * 同じ IP アドレスで別の名前に再利用されている上流 TLS 接続を修正
        * 取り消された DNSKEY による署名を許可しないために修正します
        * 署名されていない CNAME で DNAME を修正して正しい一致をチェックし、特定のゾーン構成がチェックされていない CNAME に安全なステータスを付与しないようにします
        * 信頼チェーンでのワイルドカード CNAME 処理を修正します
        * doq_repinfo_retrieve_localaddr() のバッファオーバーランを修正します
      - パッケージの変更:
        * キーリングを新しい NLnet Labs リリース署名鍵に更新してください

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

openSUSE 16:libunbound8 / python3-unbound / unbound / unbound-anchor / etc(openSUSE-SU-2026:21550-1)

high Nessus プラグイン ID 335078

バージョン 1.2