CentOS Linux 8 [TuxCare] セキュリティ更新:python3-unbound / unbound / unbound-devel / unbound-libs(CENTOS-STREAM8:CLSA-2026:1785241157)

high Nessus プラグイン ID 359792

Language:

概要

CentOS Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

CentOS Linux 8ホストには、TuxCare CENTOS-STREAM8:CLSA-2026:1785241157アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- 1.25.1以前のNLnet Labs Unbound1.4.22では、UDPソースポートはランダム化され、DNSトランザクションのエントロピーを増加させる秘密値として機能することを目的としています。リゾルバーロードバランシングポリシーがその結果を明らかにしながらソースポートに依存している場合、この秘密性が損なわれます。この脆弱性は、負荷分散ポリシーが着信ソースUDPポートとIPアドレスに関して一貫性がありながら、ランダム化ソースとして着信ソースUDPポートに大きく依存している場合に発生します。
Unbound で SO_REUSEPORT 構成オプションが有効(「so-reuseport: yes」)されている場合(デフォルト)、これらの条件を満たし、DNS キャッシュポイズニング攻撃に対して脆弱になります。起動時に、Unboundは使用可能なUDPソースポートスペースを(ほぼ)同じサイズのばらばらのサブセットにランダムに分割し、各サブセットを特定のワーカースレッドに割り当てます。受信DNSクエリを受信すると、カーネルのSO_REUSEPORTロードバランシングメカニズムは、特定のスレッドに関連付けられたソケットにクエリを決定論的に割り当てます。そのリクエストの解決中に生成されるすべての送信 DNS クエリは、対応するスレッドに割り当てられたポートサブセットからのみ選択されたソースポートを使用します。これらのポートサブセットはスレッド間でばらばらであるため、権限ネームサーバーへのリゾルバーの発信クエリで観察されたソースポートは、元のクライアントクエリを処理したワーカースレッドの信頼できるインジケーターとして機能します。悪意のある攻撃者が、着信UDPソースポート(特定の固定ソースIPアドレス)とUnboundワーカースレッド間のマッピングを取得し、これを利用して、スレッドあたりのランダムポート数を効果的に低減させることでDNSキャッシュポイズニング攻撃を実行する可能性があります。(CVE-2026-50252)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。