Debian DSA-2054-1 : bind9 - DNS キャッシュポイズニング

high Nessus プラグイン ID 46829

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

BIND に、いくつかのキャッシュポイゾニングの脆弱性が発見されました。
これらの脆弱性は、DNSSEC 検証が有効にされ、トラストアンカーがインストールされている場合のみ適用されます。これはデフォルトの設定ではありません。

Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2010-0097 BIND が DNSSEC NSEC レコードを適切に検証しません。これにより、リモートの攻撃者が、既存のドメインに対して認証データ（AD）フラグを偽造された NXDOMAIN 応答に追加する可能性があります。

- CVE-2010-0290 CNAME または DNAME レコードを含む細工された応答を処理する際に、DNSSEC 検証が有効化され、トラストアンカーがインストールされている限り、BIND が DNS キャッシュポイゾニングの脆弱性の対象となります。

- CVE-2010-0382 out-of-bailiwick データを含む特定の応答を処理する際に、DNSSEC 検証が有効化され、トラストアンカーがインストールされている限り、BIND が DNS キャッシュポイゾニングの脆弱性の対象となります。

さらに、この更新は、繰り返される DNSSEC 検証の失敗が存在し、「roll over and die」現象に対処する際に、より保守的なクエリの挙動を導入します。新しいバージョンは、今後発表される署名済みの ICANN DNS rootに使用される暗号アルゴリズム（RFC 5702 からの RSASHA256）、ならびに一部の署名済みトップレベルドメインに使用される NSEC3 の安全な存在拒否アルゴリズムもサポートします。

この更新は BIND 9 9.6-ESV-R1 の新しい Upstream バージョンに基づいています。
変更の範囲により、更新をインストールする際に、特別な注意を払うことが推奨されます。ABI の変更により、新しい Debian パッケージが含まれ、「apt-get dist-upgrade」を使用して更新がインストールされる必要があります（または同等の aptitude コマンド）。