ISC BIND 9.9.7.x < 9.9.7rc2 の複数の脆弱性

high Nessus プラグイン ID 81490
New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

リモートネームサーバーは複数の脆弱性の影響を受けます。

説明

自己報告されたバージョン番号によると、リモートでインストールした BIND は、次の複数の脆弱性による影響を受けます:

- Domain Name Service 内に、委任に従うために使用されるコードのエラーによる欠陥が存在します。リモートの攻撃者が、悪意をもって構成されたゾーンまたはクエリで、サービスにクエリを無制限に発行させ、リソースを使い果たさせる可能性があります。(CVE-2014-8500)

- DNSSEC の検証と managed-keys の機能に関連するエラーがあるため、サービス拒否の脆弱性が存在します。リモートの攻撃者が、使える状態のキーがない状態になる間違ったトラストアンカー管理シナリオをトリガーする可能性があり、その結果、アサーションの失敗またはデーモンのクラッシュが引き起こされます。(CVE-2015-1349)

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

ソリューション

BIND バージョン 9.9.7rc2 またはそれ以降にアップグレードしてください。

関連情報

https://kb.isc.org/article/AA-01247/0/BIND-9.9.7rc2-Release-Notes.html

https://kb.isc.org/docs/aa-01235

プラグインの詳細

深刻度: High

ID: 81490

ファイル名: bind9_997_rc2.nasl

バージョン: 1.9

タイプ: remote

ファミリー: DNS

公開日: 2015/2/24

更新日: 2018/11/15

依存関係: bind_version.nasl

構成: パラノイドモードの有効化

リスク情報

VPR

リスクファクター: Low

スコア: 3.6

CVSS v2

リスクファクター: High

Base Score: 7.8

Temporal Score: 5.8

ベクトル: AV:N/AC:L/Au:N/C:N/I:N/A:C

現状ベクトル: E:U/RL:OF/RC:C

脆弱性情報

CPE: cpe:/a:isc:bind

必要な KB アイテム: bind/version, Settings/ParanoidReport

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2015/2/18

脆弱性公開日: 2014/12/8

参照情報

CVE: CVE-2014-8500, CVE-2015-1349

BID: 71590, 72673