AlmaLinux 9.2 [TuxCare] セキュリティ更新:bind / bind-chroot / bind-devel / bind-dnssec-doc / etcの複数の脆弱性(ALMALINUX9.2:CLSA-2026:1787734642)

high Nessus プラグイン ID 351766

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1787734642アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- BIND が正しくない子ゾーン NSEC3 レコードを有効として受け入れることがあり、これによって攻撃者は、認証された NXDOMAIN 応答を偽造できることがあります。この問題は、BIND 9 バージョン 9.18.0 から 9.18.50、9.20.0 から 9.20.24、9.21.0 から 9.21.23、9.11.3-S1 から 9.18.50-S1、9.20.9-S1 から 9.20.24-S1 に影響します。
(CVE-2026-10723)

- リゾルバーがワイルドカード CNAME ポリシー付きで RPZ を使用していることを知っている(または推測している)攻撃者は、クエリ名を十分に長く細工し、RPZ 処理中に NAMETOOLONG エラー状態を引き起こす可能性があります。これは正しく処理されず、RPZ ルールの無効化につながる可能性があります。これにより、BIND 9 ソフトウェアが予期せず終了する可能性があります。この問題は、BIND 9 バージョンの 9.16.0 から 9.18.50、 9.20.0 から 9.20.24、 9.21.0 から 9.21.23、9.16.8-S1 から 9.18.50-S1、9.20.9-S1 から 9.20.24-S1 に影響を与えます。(CVE-2026-11331)

- DNSSEC 署名ゾーンに対するランダムサブドメイン攻撃を受けている DNSSEC 検証リゾルバーは、ランナウェイメモリ使用による影響を受ける可能性があります。攻撃者は、リゾルバーが検証を実行するよりも速くクエリを送信できる必要があります。メモリ使用量の増加が、「max-cache-size」パラメーターで構成された制限を桁違いに超える可能性があります。この問題は、BIND 9 バージョン 9.11.0 から 9.18.50、9.20.0 から 9.20.24、9.21.0 から 9.21.23、9.11.3-S1 から 9.18.50-S1、9.20.9-S1 から 9.20.24-S1 に影響します。
(CVE-2026-11622)

- 攻撃者のゾーンが、RRSIG が含まれているゾーンよりも少ない数のラベルを持つ RRSIG のあるクエリに応答する可能性があります。これにより、「named」は攻撃者のゾーンより短いゾーンに対してワイルドカード名を生成し、キャッシュポイズニングを引き起こす可能性があります。この攻撃が効果を発揮させるには、攻撃を受けるリゾルバーが「synth-from-dnssec yes;」(デフォルト)を設定している必要があります。
この問題は、BIND 9バージョンの 9.11.0 から 9.18.50、 9.20.0 から 9.20.24、 9.21.0 から 9.21.23、9.11.3-S1から9.18.50-S1、9.20.9-S1から9.20.24-S1に影響します。(CVE-2026-11721)

- 証明可能な安全でないドメインが親の NSEC レコードと NSEC3 レコードの両方でカバーされており、これらのタイプのうちの 1 つのタイプのみに RRSIG が存在する場合、BIND はこの証明の検証中にアサーションで予期せず終了する可能性があります。この問題は、BIND 9バージョンの 9.11.0 から 9.18.50、 9.20.0 から 9.20.24、 9.21.0 から 9.21.23、9.11.3-S1から9.18.50-S1、9.20.9-S1から9.20.24-S1に影響します。(CVE-2026-13204)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。