リモートホストにインストールされている BIND のバージョンは、9.18.33 / 9.20.5より前のものです。したがって、SSA:2025-029-01 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    セキュリティ問題を修正する新しい bind パッケージが、Slackware 15.0 および最新版で利用可能です。

Tenable は、前述の記述ブロックを bind セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのAlmaLinux 9ホストには、ALSA-2025:1670アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * bind: bind9: 追加セクションの多数のレコードによって引き起こされる CPU 枯渇 (CVE-2024-11187)
      * bind: bind9: クエリ負荷が高い状態での DNS-over-HTTPS 実装で複数の問題が発生 (CVE-2024-12705)

Tenableは、前述の記述ブロックをAlmaLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 12 ホストには、dsa-5854 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-5854-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 1 月 29 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ: bind9 CVE ID: CVE-2024-11187 CVE-2024-12705

    DNS サーバーの実装である BIND に、サービス拒否を引き起こす可能性のある複数の脆弱性が発見されました。

    安定版 (stable) ディストリビューション (bookworm) では、これらの問題はバージョン 1:9.18.33-1~deb12u2 で修正されています。

    bind9 パッケージをアップグレードすることを推奨します。

    bind9 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/bind9

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 ホストには、USN-7241-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Toshifumi Sakaguchi 氏は、Bind が追加セクションの多くのレコードを不適切に処理していることを発見しました。リモートの攻撃者がこの問題を悪用して Bind に CPU リソースを消費させ、サービス拒否を引き起こす可能性があります。(CVE-2024-11187)

    Jean-Franois Billaud 氏は、Bind DNS-over-HTTPS の実装が大量のクエリ負荷を不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用して Bind にリソースを消費させ、サービス拒否を引き起こす可能性があります。(CVE-2024-12705)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2025:01787-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 9.20.9 に更新してください。

    - 修正されたセキュリティ問題:

      * CVE-2025-40775無効な TSIG を持つ NS メッセージの処理によって引き起こされるアサーションエラーによるサービス拒否bsc#1243361。
      * CVE-2024-12705クエリの高負荷で発生する DNS-over-HTTPS の問題による、CPU およびメモリの枯渇bsc#1236597。
      * CVE-2024-11187追加データセクションで複数のレコードを含む応答につながるクエリを処理する際の CPU 枯渇bsc#1236596

    - 変更ログ：

      - 機能の変更:
        * 複雑なコード変更に関連するリスクを回避するために、BIND 9.20.2 で導入された NSEC3 検索のパフォーマンス最適化が元に戻されました。
        * 構成条項 parent-agents および primaries の名前が remote-servers に変更されます。
        * query-source および query-source-v6 にパラメーターなしを追加して、IPv4 または IPv6 の Upstream クエリを無効にしますが、IPv4 または IPv6 上のクライアントからのクエリのリッスンを許可します。
        * dnssec-ksr は現在 KSK ロールオーバーをサポートするようになりました。
        * RFC 7314転送サマリーでの EXPIRE オプションを出力します。
        * max-records-per-type の超過に対して役立つログメッセージを追加。
        * 鍵ファイルが利用可能になった場合には鍵管理を強化します。

      - 新機能
        * EDE 20 に対するサポートを追加します権限がありません。
        * EDE 7 および EDE 8 のサポートを追加します。
        * 「dig」は、ネゴシエーション中に受信した BADVERS メッセージを表示できるようになりました。
        * 「rndc」コマンドを追加して、いくつかの統計カウンターをリセットします。
        * min-transfer-rate-in 構成オプションを実装します。
        * HTTPS レコードクエリをホストコマンドラインツールに追加します。
        * sig0key-checks-limit および sig0message-checks-limit を実装します。
        * EDE コード 1 および 2 向けのサポートを追加します。
        * rndc コマンドを追加して、jemalloc プロファイリングをトグルします。
        * 複数の拡張 DNS エラーのサポートを追加します。
        * 古いレコードの有効期限を印刷します。
        * Extended DNS Error Code 22 の追加 - 到達可能な認証局がありません。
        * 新しいオプションを追加し、クライアントリクエストごとの送信クエリの最大数を構成します。
        * すべての発信 TLS 接続には、Server Name IndicationSNI 拡張を使用します。
        * ビルトイン bind.keys ファイルを新しい 2025 IANA root キーで更新します。
        * 2025 年 1 月に公開予定の新しい root キー ID 38696 用の bind.keys に initial-ds エントリを追加します。

      - バグ修正:
        * NSEC3 の直近含む検索の改善を復元します。
        * EDNS サポートの欠落したキャッシュを停止します。
        * タイムアウト応答用のリゾルバー統計カウンターを修正。
        * ネスト化された DNS 検証により、アサーション失敗が発生する可能性があります。
        * 「named-checkconf」でメモリ再利用が完了するまで待機します。
        * 「max-clients-per-query」が少なくとも「clients-per-query」であることを確認してください。
        * バリデーターコードへの書き込みを修正します。
        * DNSKEY で NOAUTH/NOCONF フラグを強制しません。
        * いくつかの軽微な DNSSEC タイミング問題を修正します。
        * 解決中の CNAME/DNAME 処理の不整合を修正します。
        * Dual-stack-servers 構成オプションを修正。
        * 永続的なアクティブクライアントの増加を引き起こすデータ競合を修正。
        * 署名されていない DS および DNSKEY レコードの延期された検証を修正します。
        * 再構成中の RPZ の競合状態を修正します。
        * 「CNAME およびその他のデータチェック」は、すべてのタイプに適用されません。
        * プライベート DNSKEY および RRSIG 制約を緩和します。
        * NSEC/DS/NSEC3 RRSIG チェックを dns_message_parse() から削除します。
        * RPZ「passthru」を通じて処理された ANY クエリの TTL 問題を修正します
        * dnssec-signzone は、オフライン設定時に NULL キーをチェックする必要があります。
        * ゾーン転送情報をクエリする際の統計チャネルのバグを修正。
        * 再帰クライアントをダンプする際のアサーションエラーを修正します。
        * dns_resolver_dumpfetches() からアクティブリゾルバーフェッチをダンプします。
        * 最近期限切れのレコードは、今後タイムスタンプ付きで返される可能性があります。
        * YAML 文字列が delv の負の応答で終了しません。
        * オフラインになっているキーに関連する dnssec-signzone のバグを修正します。
        * メモリ制限を ADB データベースアイテムのみに適用します。
        * ゾーン/キャッシュデータベースでの不必要なロッキングを回避します。
        * 拡張 DNS エラー 22到達可能な認証局がありませんのレポートを修正します。
        * 大規模な更新を処理する際の nsupdate のハングアップを修正。
        * 更新ポリシールールの処理中にサーバーをリロードする際の潜在的なアサーション失敗を修正します。
        * attach-cache を使用するときの再構成でキャッシュを保持します。
        * グルーキャッシュによるパフォーマンスの低下を解決。
        * 取り消されたキーで非 DNSKEY RRsets に署名する dnssec-signzone を修正します。
        * resolv.conf の未知のディレクティブの不適切な処理を修正します。
        * で応答ポリシーゾーンと カタログゾーンを修正します $INCLUDE 定義済みのステートメントです。
        * TLS が設定されている場合、通知に TLS を使用します。
        * TLS を使用するように構成された通知が、平文 UDP や TCP ではなく、TLS で送信されるようになりました。また、notify 用の TLS 構成のロードに失敗すると、エラーが発生します」が発生します。
        * {&dns} は SVCB の dohpath で {?dns} と同等に有効です。
        * dig は、「dohpath=/some/path?key=value{&dns}」などの、{&dns} を含む dohpath URI テンプレートで有効な SVCB レコードの解析に失敗していました。
        * 空白の非終端を持つ名前に対する NSEC3 の直近参照検索を修正します。
        * 承認的な応答を生成する際に NSEC3 の直近のエンクロージャを見つけるための以前のパフォーマンスの最適化により、サーバーが正しくない NSEC3 レコードを返す場合がありました。これは修正されました。
        * 値 0 の recursive-clients ステートメントは、アサーションの失敗を誘発しました。
        * BIND 9.20.0 recursive-clients 0 を破壊します 。これは現在修正されました。
        * rndc.conf のホスト名の解析が壊れていました。
        * DSCP サポートが削除された際、rndc.conf のホスト名の解析が意図せず破損し、アサーション失敗が発生しました。これは修正されました。
        * [+-]option=<value> 形式の「dig」オプションは、印刷されたコマンドラインに値を表示できませんでした。これは修正されました。
        * SSL_CTX_use_certificate_chain_file() と SSL_CTX_use_PrivateKey_file() のエラーを個別に記録することで、TLS 構成エラーをさらに可視化します。
        * アサーション失敗を引き起こす可能性のある ADB 検索をキャンセルする際の競合状態を修正します。
        * SERVFAIL キャッシュメモリクリーニングがより積極的になりました。サーバーが一度に多くの SERVFAIL に遭遇した場合、大量のメモリを消費することがなくなりました。
        * 前のプライマリ XoT サーバーが到達不能としてマークされたときの次のプライマリ XoT サーバーの試行を修正。
        * いくつかの事例で、前のサーバーが到達不能としてマークされたとき、named がプライマリリストの次のプライマリサーバーの試行に失敗することがありました。これは修正されました。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - DNS-over-HTTPSDoHを使用しているクライアントは、細工された有効または無効な HTTP/2 トラフィックでフラッディングすることで、DNS リゾルバーの CPU やメモリを枯渇させることができます。この問題は、BIND 9バージョン 9.18.0 から 9.18.32、 9.20.0 から 9.20.4、 9.21.0 から 9.21.3、、9.18.11-S1から9.18.32-S1に影響します。CVE-2024-12705

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモート Redhat Enterprise Linux 9 ホストに、RHSA-2025:1670 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    BIND（Berkeley Internet Name Domain）は、DNS（ドメインネームシステム）プロトコルの実装です。BIND には、ホスト名を IP アドレスに解決する DNS サーバー (named)、リゾルバーライブラリ (DNS とインターフェース接続するときに使用するアプリケーション用ルーチン)、DNS サーバーが正常動作していることを検証するツールが含まれます。

    セキュリティ修正プログラム:

    * bind: bind9: 追加セクションの多数のレコードによって引き起こされる CPU 枯渇 (CVE-2024-11187)

    * bind: bind9: クエリ負荷が高い状態での DNS-over-HTTPS 実装で複数の問題が発生 (CVE-2024-12705)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 9 ホストに、ELSA-2025-1670アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-11187 を修正 bind: bind9: 追加セクションの多数のレコードによって引き起こされる CPU 枯渇

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている BIND のバージョンは、9.11.4-26.P2 より前のものです。したがって、ALAS2-2025-2751 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ゾーンを構築することで、一部のクエリが [追加] セクションに多数のレコードを含む応答を生成する可能性があります。攻撃者がこのようなクエリを多数送信すると、権限のあるサーバー自体または独立したリゾルバーに、クエリを処理する不均衡なリソースを使用させる可能性があります。通常、この露出を攻撃するには、ゾーンを意図的に作成する必要があります。この問題は、BIND 9 バージョン 9.11.0 から 9.11.37、9.16.0 から 9.16.50、9.18.0 から 9.18.32、9.20.0 から 9.20.4、9.21.0 から 9.21.3、9.11.3-S1 から 9.11.37-S1、9.16.8-S1 から 9.16.50-S1、および 9.18.11-S1 から 9.18.32-S1 に影響します。(CVE-2024-11187)

    DNS-over-HTTPS (DoH) を使用しているクライアントは、細工された有効または無効な HTTP/2 トラフィックでフラッディングすることで、DNS リゾルバーの CPU やメモリを使い果たす可能性があります。この問題は、BIND 9 バージョン 9.18.0 から 9.18.32、9.20.0 から 9.20.4、9.21.0 から 9.21.3、9.18.11-S1 から 9.18.32-S1 に影響します。(CVE-2024-12705)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2025-838 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ゾーンを構築することで、一部のクエリが [追加] セクションに多数のレコードを含む応答を生成する可能性があります。攻撃者がこのようなクエリを多数送信すると、権限のあるサーバー自体または独立したリゾルバーに、クエリを処理する不均衡なリソースを使用させる可能性があります。通常、この露出を攻撃するには、ゾーンを意図的に作成する必要があります。この問題は、BIND 9 バージョン 9.11.0 から 9.11.37、9.16.0 から 9.16.50、9.18.0 から 9.18.32、9.20.0 から 9.20.4、9.21.0 から 9.21.3、9.11.3-S1 から 9.11.37-S1、9.16.8-S1 から 9.16.50-S1、および 9.18.11-S1 から 9.18.32-S1 に影響します。(CVE-2024-11187)

    DNS-over-HTTPS (DoH) を使用しているクライアントは、細工された有効または無効な HTTP/2 トラフィックでフラッディングすることで、DNS リゾルバーの CPU やメモリを使い果たす可能性があります。この問題は、BIND 9 バージョン 9.18.0 から 9.18.32、9.20.0 から 9.20.4、9.21.0 から 9.21.3、9.18.11-S1 から 9.18.32-S1 に影響します。(CVE-2024-12705)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:0355-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    リリース 9.18.33 への更新

    セキュリティ修正:

    - CVE-2024-11187: 追加セクションの多数のレコードによって引き起こされる CPU 枯渇を修正します (bsc#1236596)
    - CVE-2024-12705: クエリ負荷が高い状態での DNS-over-HTTPS 実装の複数の問題を修正します (bsc#1236597)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 41 ホストには、FEDORA-2025-3551f3ba1b のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    # 9.16.33 への更新 #2342784 ##セキュリティ修正

    - DNS-over-HTTPS フラッディングの修正。(CVE-2024-12705)
    - 大規模な RDATA セットの追加セクション処理を制限。(CVE-2024-11187)

    # 新機能

    - クライアントリクエストごとの発信クエリの最大数を設定する新しいオプションを追加。

    # バグ修正

    - 大規模な更新を処理する際の nsupdate のハングアップを修正。
    - 更新ポリシールールの処理中にサーバーをリロードすると発生する可能性のあるアサーションエラーを修正。[GL #5006]
    - 失効したキーで非 DNSKEY RRsets への dnssec-signzone 署名を修正。
    - resolv.conf の不明なディレクティブの不適切な処理を修正。

    [アップストリームリリースノート](https://downloads.isc.org/isc/bind9/9.18.33/doc/arm/html/notes.html#notes-for-bind-9-18-33)


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
214786	Slackware Linux 15.0 / 最新版 bind の複数の脆弱性 (SSA:2025-029-01)	Nessus	Slackware Local Security Checks	2025/1/29	2025/5/22	high
216687	AlmaLinux 9bind9.18ALSA-20251670	Nessus	Alma Linux Local Security Checks	2025/2/24	2025/2/24	high
214787	Debian dsa-5854: bind9 - セキュリティ更新	Nessus	Debian Local Security Checks	2025/1/29	2025/5/22	high
214790	Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS/24.10: Bind の脆弱性 (USN-7241-1)	Nessus	Ubuntu Local Security Checks	2025/1/29	2025/5/22	high
237601	SUSE SLED15 / SLES15 のセキュリティ更新 : bind (SUSE-SU-2025:01787-1)	Nessus	SuSE Local Security Checks	2025/5/31	2025/5/31	high
227699	Linux Distros のパッチ未適用の脆弱性: CVE-2024-12705	Nessus	Misc.	2025/3/5	2025/9/8	high
216489	RHEL 9: bind9.18 (RHSA-2025:1670)	Nessus	Red Hat Local Security Checks	2025/2/19	2025/6/5	high
216615	Oracle Linux 9: bind9.18 (ELSA-2025-1670)	Nessus	Oracle Linux Local Security Checks	2025/2/21	2025/9/11	high
214980	Amazon Linux 2 : bind (ALAS-2025-2751)	Nessus	Amazon Linux Local Security Checks	2025/2/4	2025/5/22	high
215038	Amazon Linux 2023 : bind、bind-chroot、bind-devel (ALAS2023-2025-838)	Nessus	Amazon Linux Local Security Checks	2025/2/5	2025/5/22	high
215184	SUSE SLED15/SLES15/openSUSE 15 セキュリティ更新: bind (SUSE-SU-2025:0355-1)	Nessus	SuSE Local Security Checks	2025/2/10	2025/5/22	high
216157	Fedora 41 : bind / bind-dyndb-ldap (2025-3551f3ba1b)	Nessus	Fedora Local Security Checks	2025/2/12	2025/5/22	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high

high