CVE-2010-0097 BIND DNSSEC NSEC/NSEC3 検証コードが、偽造された NXDOMAIN 応答を引き起こす可能性があります。

CVE-2009-4022 に対する CVE-2010-0290 BIND upstream 修正が不完全です。

BIND DNSSEC NSEC/NSEC3 検証コードに欠陥が見つかりました。BIND が DNSSEC 検証リゾルバーとして実行している場合、NSEC または NSEC3 によって存在が証明された記録に対して、記録があたかも有効であるかのように、 NXDOMAIN 応答を不適切にキャッシュする可能性があります。リモートの攻撃者はこの欠陥を利用して、有効な記録に対して BIND サーバーに偽造のキャッシュされた NXDOMAIN 応答を返させ、ユーザーがこれらの記録を取得するのを防げる場合があります（サービス拒否）。（CVE-2010-0097）

CVE-2009-4022 の元の修正は不完全であることが判明しました。BIND は適切な DNSSEC 検証を実行せずに、特定の応答を不適切にキャッシュしていました。DNSSEC 記録をリクエストするが、チェックを無効にすべきであると知らせる再帰クライアントクエリの処理から CNAME および DNAME 記録が受け取られると、適切な DNSSEC 検証なしでこれらの記録がキャッシュされる場合があります。ターゲット BIND サーバーがこのようなクライアントのクエリを受信すると、リモートの攻撃者はこの欠陥を悪用して、DNSSEC 検証チェックをバイパスし、キャッシュポイズニング攻撃を実行することがあります。
（CVE-2010-0290）

更新のインストール後、BIND デーモン（named）が自動的に再起動します。

検出

Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の bind

medium Nessus プラグイン ID 60726

変更ログが見つかりません