AlmaLinux 9.2 [TuxCare] セキュリティ更新プログラム:python3-unbound/unbound/unbound-devel/unbound-libsの複数の脆弱性(ALMALINUX9.2:CLSA-2026:1786637650)

medium Nessus プラグイン ID 352033

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1786637650アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- RFC 1035 および更新における DNS プロトコルにより、リモートの攻撃者は、DNSクエリが数秒間蓄積されるように調整することで、サービス拒否(リソース消費)を引き起こし、応答が後でパルスバーストで送信されるようにします(場合によってはトラフィック増幅と見なされる可能性があります)。これは、別名 DNSBomb 問題と呼ばれています。(CVE-2024-33655)

- 異議申し立ての注:この問題は、(元のソフトウェア開発者である NLnet Labs による分析によると)アプリケーションの期待される機能およびセキュリティコントロールの範囲内にあるため、セキュリティリスクにはなりません。Red Hat は、Red Hat 製品内にセキュリティリスクがあると主張しています。NLnet Labsにはこの主張に関する詳細情報はなく、影響を受けるRed Hatの顧客には利用可能なRed Hatドキュメントまたはサポートチャネルを参照することをお勧めします。元の説明:Unboundのub_ctx_set_fwd関数にNULLポインターデリファレンスの欠陥が見つかりました。この問題により、API 呼び出しの特定のシーケンスを呼び出せる攻撃者が、セグメンテーション違反を引き起こす可能性があります。ub_ctx_set_fwd や ub_ctx_resolvconf などの特定の API 関数が特定の順序で呼び出されると、プログラムが NULL ポインターから読み込もうとするため、クラッシュが引き起こされます。この問題により、アプリケーションが予期せず終了することにより、サービス拒否が発生する可能性があります。(CVE-2024-43167)

- 1.25.1以前の NLnet Labs Unbound 1.16.2で、「ghost domain names」ファミリーの攻撃のCVE-2026-40622と同様の脆弱性が Unbound で見つかりました。これにより、ゴーストドメインウィンドウを A/AAAA グルーレコード用のキャッシュされた TTL 構成値が最大 1 つまで拡張される可能性があります。他の「ゴーストドメイン名」攻撃と同様に、攻撃者は (ゴースト) ゾーンをコントロールし、脆弱な Unbound に対してクエリを行える必要があります。単一のクライアント A/AAAA クエリにより、Unbound は、キャッシュされた期限切れの親側グルー rrset を上書きし、基本的にゴーストドメインウィンドウを最大 1 つのキャッシュ済み TTL 構成値(「cache-max-ttl」)だけ拡張する可能性があります。「harden-referral-path: yes」が使用される構成(非デフォルト構成)では、Unbound が暗黙的にクライアントクエリを実行するため、クライアントクエリは必要ありません。これは、NS クエリのみに対処する CVE-2026-40622 の変種です。(CVE-2026-42955)

- バージョン 1.25.1 までの NLnet Labs Unbound では、libunbound を使用し、「unwanted-reply-threshold」で構成されているアプリケーションは、しきい値に達した場合に突然終了する可能性があります。そして、関数が関数呼び出しの許可リストから欠落しているため、libunbound は「libworker_alloc_cleanup」を呼び出す必要があります。libunbound を使用するアプリケーションが「unwanted-reply-threshold」をゼロ以外の値に設定し、反復子がしきい値を超えるのに十分な量の wrong-transaction-id UDP データグラムで応答する権威をクエリする場合、「libworker_alloc_cleanup」は最終的に呼び出されます。この関数は関数呼び出しの許可リストから欠落しているため、libunbound の致命的な終了と、最終的に埋め込みアプリケーションの終了につながります。関連する関数「worker_alloc_cleanup」が許可リストに登録され、文書化されたキャッシュフラッシュの実行に進むため、Unbound 自体は影響を受けません。(CVE-2026-44621)

- 名前が DNSSEC 署名済みゾーンより下にある 1.25.1、スタブまたはフォワードゾーンまでの NLnet Labs Unbound 1.13.2では、親からの中間ラベルの安全な NXDOMAIN 応答によってシャドー化される可能性があります。これは、「harden-below-nxdomain」ロジックの off-by-one エラーによって引き起こされます。
デフォルトで有効化されています。これは構成を効果的にバイパスし、構成済みのスタブ/フォワードゾーンとは一切接触しません。「harden-below-nxdomain」は、スタブ/フォワードゾーンを超える NXDOMAIN 合成を許可しない委任ポイントガードとともに、Upward DNS キャッシュウォークを行います。ガードは、ラベルを削除する前に、ドメイン名をテストします。この結果、ドメイン名が構成済みのスタブ/フォワードゾーン頂点と等しい反復が起こり、ガードを通過し、もう 1 つのラベルを取り去り、頂点の直近の公開親でキャッシュをプローブします。その親がキャッシュされた DNSSEC で安全な NXDOMAIN を持っている場合、署名付きの公開名の下に 2 つ以上のラベルがネスト化されたプライベート名前空間に対して、その親はそれを返し、構成済みのスタブ/フォワード上流とは一切接触しません。これは、(スタブ/フォワード頂点と DNSSEC 親ゾーンの間)中間ラベルのクエリによってのみ発生する可能性があります。(CVE-2026-44687)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。