CentOS Linux 8ホストには、TuxCare CENTOS-STREAM8:CLSA-2026:1791261872アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - DNS プロトコルの DNSSEC の特定の部分 (RFC 4033、4034、4035、6840 および関連する RFC) により、リモート攻撃者が、1 つ以上の DNSSEC 応答を介してサービス拒否 (CPU 消費) を引き起こすことが可能です (別名 KeyTrap)。懸念の 1 つは、多数の DNSKEY および RRSIG レコードを持つゾーンがある場合に、アルゴリズムが DNSKEY と RRSIG レコードのすべての組み合わせを評価する必要があることをプロトコルの仕様が示唆していることです。(CVE-2023-50387)

  - 1.26.0までのNLnetLabs Unboundでは、連続した読み取りに制限のないTCP/DoT読み取りプロシージャにサービス低下の脆弱性があります。TCP/DoT接続を介してキャッシュされていない個別の名前のレートをストリーミングして維持できる悪意のある攻撃者は、書き込みがドレインより先を行っている限り、1つのワーカーのイベントループ全体を独占します。(CVE-2026-80225)

  - 1.26.0以前の NLnet Labs Unbound では、TCP 応答が長い 255 長のクエリ名により、RRSet 正規化ルーチン中にヒープバッファオーバーフローが発生する可能性があります。これは、バッファの長さチェックに最初の所有者名を追加しなかったことが原因です。悪意のあるネームサーバーを操作したり、Unboundへの受信応答を改ざんしたりする悪意のある攻撃者が(DNSSEC検証前に正規化が行われる)、脆弱性をトリガーする可能性があります。(CVE-2026-81634)

  - DNSSEC に対してアルゴリズム複雑性の攻撃を仕掛けるための新たな脆弱性が、「ReTrap」という用語で研究されています。これらにより、アルゴリズムの複雑性の脆弱性に対応するために悪意のあるゾーンが使用される場合に、サービスが低下します。1.26.0までのNLnet Labs Unboundは、それらの一部に脆弱です。TagTrap。トリプル(Zone、Algo、KeyTag)マッチングメカニズムにより、リゾルバーが大量の不一致のDNSKEY、RRSIG、DSレコードを含む悪意のある応答を処理するときに、重要な攻撃ベクトルが導入されます。DelegationTrap。ここで、信頼チェーンを構築するには、DNSKEY と DS レコードをルートゾーンから下側に反復的に検証する必要があります。深くネスト化されたドメインの場合、これは計算に大きなオーバーヘッドをもたらします。NsecTrap。過剰な無効なNSECレコードを持つ応答は、リゾルバーにそれぞれを検証させます。AdditionalTrap(Unbound がデフォルトで DNSSEC も ADDITIONAL セクション検証しようとします)。これは、悪意のあるユーザーにより検証リソースの浪費のために悪用される可能性があります。(CVE-2026-85501)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

CentOS Linux 8 [TuxCare] セキュリティ更新プログラム:python3-unbound/unbound/unbound-devel/unbound-libsの複数の脆弱性(CENTOS-STREAM8:CLSA-2026:1791261872)

high Nessus プラグイン ID 363115

バージョン 1.3