ISC による報告：

DNS プロトコルは、与えられたゾーンに関してプライマリサーバーとセカンダリサーバーの動作の間で、特定の量の信頼が想定できるという想定で設計されました。しかしながら、現在の実務では、一部の組織は、完全には信頼されないソース（たとえば、セカンダリネームサービスのプロバイダなど）からのゾーンデータを受け入れることを必要とする場合があります。たとえば、AXFR、IXFR、または Dynamic DNS 更新により、データをゾーンにフィードすることを許されている当事者は、データを受け入れるサーバーを意図的にまたは不注意から圧倒して、サーバーのメモリを枯渇させることが可能です。

以下のためのセキュリティ修正 CVE-2016-6170

----

以下のためのセキュリティ修正 CVE-2016-8864

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このbindの更新では、次の問題が修正されます：CVE-2017-3137 (bsc#1033467)：CNAMEまたはDNAMEリソースレコードを含むレスポンスの回答セクション内のレコードの順序付けに関する誤った仮定が悪用され、再帰を実行しているbindサーバーのサービス拒否が引き起こされる可能性がありました。 CVE-2017-3136（bsc#1033466）：攻撃者が、DNS64を使用するように構成されたサーバーのサービス拒否を引き起こすクエリを構築する可能性がありました。CVE-2017-3138（bsc#1033468）：BIND制御チャネルにアクセスできる攻撃者が、アサーションの失敗をトリガーしてサーバーを停止させる可能性がありました。CVE-2016-6170（bsc#987866）：プライマリDNSサーバーが、大きなAXFRレスポンスを介して、セカンダリDNSサーバーのサービス拒否を引き起こす可能性がありました。IXFRサーバーが、大きなIXFRレスポンスを介して、IXFRクライアントのサービス拒否を引き起こす可能性がありました。リモート認証ユーザーが、大きなUPDATEメッセージを介して、プライマリDNSサーバーのサービス拒否を引き起こす可能性がありました。CVE-2016-2775（bsc#989528）：lwresdまたはnamed lwresオプションが有効になっている場合は、bindにより、リモート攻撃者が、軽量リゾルバープロトコルを使用する長いリクエストを介して、サービス拒否（デーモンクラッシュ）を引き起こす可能性がありました。1つの追加の非セキュリティバグが修正されました：デフォルトのumaskが077に変更されました。（bsc#1020983）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このbindの更新では、次のセキュリティ問題が修正されます：
CVE-2017-3137 (bsc#1033467)：CNAMEまたはDNAMEリソースレコードを含むレスポンスの回答セクション内のレコードの順序付けに関する誤った仮定が悪用され、再帰を実行しているバインドサーバーのサービス拒否が引き起こされる可能性があります。 CVE-2017-3136 （bsc#1033466）：攻撃者が、DNS64を使用するように構成されたサーバーのサービス拒否を引き起こすクエリを構築する可能性がありました。
CVE-2017-3138 (bsc#1033468)：BIND制御チャネルにアクセスできる攻撃者が、アサーションの失敗をトリガーしてサーバーを停止させる可能性がありました。CVE-2016-6170（bsc#987866）：プライマリDNSサーバーが、大きなAXFRレスポンスを介して、セカンダリDNSサーバーのサービス拒否を引き起こす可能性がありました。IXFRサーバーが、大きなIXFRレスポンスを介して、IXFRクライアントのサービス拒否を引き起こす可能性がありました。リモート認証ユーザーが、大きなUPDATEメッセージを介して、プライマリDNSサーバーのサービス拒否を引き起こす可能性がありました。CVE-2016-2775（bsc#989528）：
lwresdまたはnamed lwresオプションが有効になっている場合は、bindにより、リモート攻撃者が、軽量リゾルバープロトコルを使用する長いリクエストを介して、サービス拒否（デーモンクラッシュ）を引き起こす可能性がありました。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ゾーンサイズ制限を許可します（CVE-2016-6170）

----

以下のためのセキュリティ修正 CVE-2016-8864

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このbind の更新では、次の問題が修正されます：CVE-2017-3137 (bsc#1033467)：CNAMEまたはDNAMEリソースレコードを含むレスポンスの回答セクション内のレコードの順序付けに関する誤った仮定が悪用され、再帰を実行しているバインドサーバーのサービス拒否が引き起こされる可能性があります。 CVE-2017-3136 （bsc#1033466）：攻撃者が、DNS64を使用するように構成されたサーバーのサービス拒否を引き起こすクエリを構築する可能性がありました。CVE-2017-3138（bsc#1033468）：BIND制御チャネルにアクセスできる攻撃者が、アサーションの失敗をトリガーしてサーバーを停止させる可能性がありました。CVE-2016-6170（bsc#987866）：プライマリDNSサーバーが、大きなAXFRレスポンスを介して、セカンダリDNSサーバーのサービス拒否を引き起こす可能性がありました。IXFRサーバーが、大きなIXFRレスポンスを介して、IXFRクライアントのサービス拒否を引き起こす可能性がありました。リモート認証ユーザーが、大きなUPDATEメッセージを介して、プライマリDNSサーバーのサービス拒否を引き起こす可能性がありました。CVE-2016-2775（bsc#989528）：lwresdまたはnamed lwresオプションが有効になっている場合は、bindにより、リモート攻撃者が、軽量リゾルバープロトコルを使用する長いリクエストを介して、サービス拒否（デーモンクラッシュ）を引き起こす可能性がありました。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

bind 用のこの更新は、次の問題を修正します：

CVE-2017-3137 (bsc#1033467)：CNAMEまたはDNAMEリソースレコードを含むレスポンスの回答セクション内のレコードの順序付けに関する誤った仮定が悪用され、再帰を実行しているbindサーバーのサービス拒否が引き起こされる可能性がありました。

CVE-2017-3136 (bsc#1033466)：攻撃者が、DNS64を使用するように構成されたサーバーのサービス拒否を引き起こすクエリを構築する可能性がありました。

CVE-2017-3138 (bsc#1033468)：BIND制御チャネルにアクセスできる攻撃者が、アサーションの失敗をトリガーしてサーバーを停止させる可能性がありました。

CVE-2016-6170 (bsc#987866)：プライマリDNSサーバーが、大きなAXFRレスポンスを介して、セカンダリDNSサーバーのサービス拒否を引き起こす可能性がありました。
IXFRサーバーが、大きなIXFRレスポンスを介して、IXFRクライアントのサービス拒否を引き起こす可能性がありました。リモート認証ユーザーが、大きなUPDATEメッセージを介して、プライマリDNSサーバーのサービス拒否を引き起こす可能性がありました。

CVE-2016-2775 (bsc#989528)：lwresdまたはnamed lwresオプションが有効になっている場合は、bindにより、リモート攻撃者が、軽量リゾルバープロトコルを使用する長いリクエストを介して、サービス拒否（デーモンクラッシュ）を引き起こす可能性がありました。

1つの追加の非セキュリティバグが修正されました：

デフォルトのumaskが077に変更されました。（bsc#1020983）

この更新はSUSEからインポートされました：SLE-12-SP1：更新プロジェクトを更新します。

インストールされているbindパッケージのバージョンによると、リモートホストへのEulerOSのインストールは次の脆弱性の影響を受けます。- ダイナミックDNS（DDNS）を使用してゾーンのレコードを更新する機能を細かく制御するため、BIND 9からupdate-policyと呼ばれる機能が提供されています。更新リクエストを送信するときに使用されるキーに応じて、クライアントが実行できる更新の種類を制限するために、さまざまなルールを構成できます。当初、一部のルールタイプが文書化されておらず、『管理者参照マニュアル』（ARM）の変更#3112でそれらのドキュメントが追加されたとき、ARMに追加された言語において、krb5-subdomainとms-subdomainの2つのルールタイプの動作が誤って記載されていました。この誤った記述が原因で、オペレーターが設定したポリシーが意図したほど厳しいものではない場合があります。これは、BIND 9.11.5とBIND 9.12.3より前のBINDバージョンに影響します。（CVE-2018-5741） - 「managed-key」は、BINDリゾルバーが、オペレーターがDNSSEC検証用に構成する、トラストアンカーによって使用されるキーを自動的に維持できる機能です。管理キー機能のエラーにより、キーロールオーバー中にトラストアンカーのキーがサポートされていないアルゴリズムを使用するキーに置き換えられた場合、アサーションの失敗により管理キーを使用するBINDサーバーが終了する可能性があります。影響を受けるバージョン：BIND 9.9.0-> 9.10.8-P1、9.11.0-> 9.11.5-P1、9.12.0-> 9.12.3-P1、さらにBIND 9 Supported Preview Editionのバージョン9.9.3-S1-> 9.11.5-S3。9.13開発ブランチのバージョン9.13.0-> 9.13.6も影響を受けます。BIND 9.9.0より前のバージョンは、CVE-2018-5745の脆弱性について評価されていません。（CVE-2018-5745） - ゾーンが書き込み可能である場合、ゾーン転送の制御がDynamicly Loadable Zones（DLZ）に適切に適用されない可能性があります。影響を受けるバージョン：BIND 9.9.0-> 9.10.8-P1、9.11.0-> 9.11.5-P2、9.12.0-> 9.12.3-P2、さらにBIND 9 Supported Preview Editionのバージョン9.9.3-S1-> 9.11.5-S3。9.13開発ブランチのバージョン9.13.0-> 9.13.6も影響を受けます。BIND 9.9.0より前のバージョンは、CVE-2019-6465の脆弱性について評価されていません。（CVE-2019-6465） - ISC BIND 9.9.9～P1、9.10.x～9.10.4-P1、9.11 x～9.11.0b1まででは、プライマリDNSサーバーが大量のAXFR応答を介してサービス拒否（セカンダリDNSサーバーのクラッシュ）を引き起こしたり、IXFRサーバーが大量のIXFR応答を介してサービス拒否（IXFRクライアントクラッシュ）を引き起こしたり、リモート認証されたユーザーが、大量のUPDATEメッセージを介してサービス拒否（プライマリDNSサーバーのクラッシュ）を引き起こしたりする可能性があります。（CVE-2016-6170）注意：Tenable Network Securityは、前述の記述ブロックをEulerOSセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Ubuntu 16.04 ESM ホストには、USN-5747-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 9.9.9-P2 より前の ISC BIND 9.x、9.10.4-P2 より前の 9.10.x、9.11.0b2 より前の 9.11.x では、lwresd または named lwres オプションが有効になっている場合、リモート攻撃者が、軽量リゾルバープロトコルを使用する長いリクエストを介して、サービス拒否 (デーモンクラッシュ) を引き起こす可能性があります。(CVE-2016-2775)

  - ISC BIND ～9.9.9-P1、9.10.x～9.10.4-P1、9.11.x～9.11.0b1 まででは、プライマリ DNS サーバーが大量の AXFR 応答を介してサービス拒否 (セカンダリ DNS サーバーのクラッシュ) を引き起こしたり、IXFR サーバーが大量の IXFR 応答を介してサービス拒否 (IXFR クライアントクラッシュ) を引き起こしたり、リモート認証されたユーザーが、大量の UPDATE メッセージを介してサービス拒否 (プライマリ DNS サーバーのクラッシュ) を引き起こしたりする可能性があります。(CVE-2016-6170)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョン番号によると、リモートネームサーバーで実行されているISC BINDのインストールは、メモリ枯渇の脆弱性の影響を受けます。現在はゾーンデータサイズに制限がないため、別のソースからのゾーンデータを受け入れる場合、サーバーは潜在的に脆弱です。Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号のみに依存しています。

リモートホストは、GLSA-201610-07（BIND：複数の脆弱性）で記述されている脆弱性に影響されています。BINDで、複数の脆弱性が見つかりました。詳細については、以下に記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、複数の攻撃ベクトルを通じてサービス拒否状態を引き起こす可能性があります。回避策：現時点では、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
92832	FreeBSD：BIND、Knot、NSD、PowerDNS -- オーバーサイズのゾーン転送を通じるサービス拒否（7d08e608-5e95-11e6-b334-002590263bf5）	Nessus	FreeBSD Local Security Checks	2016/8/10	2021/1/4	high
95003	Fedora 25：bind99（2016-567a5591e4）	Nessus	Fedora Local Security Checks	2016/11/21	2021/1/11	high
95305	Fedora 23：bind99（2016-8e39076950）	Nessus	Fedora Local Security Checks	2016/11/25	2021/1/11	high
99356	SUSE SLED12 / SLES12セキュリティ更新プログラム：bind（SUSE-SU-2017:0998-1）	Nessus	SuSE Local Security Checks	2017/4/13	2021/1/6	high
99358	SUSE SLES11セキュリティ更新プログラム：bind（SUSE-SU-2017:1000-1）	Nessus	SuSE Local Security Checks	2017/4/13	2021/1/19	high
94926	Fedora 24：bind99 (2016-9417b4c1dc)	Nessus	Fedora Local Security Checks	2016/11/17	2021/1/11	high
99357	SUSE SLES12セキュリティ更新プログラム：bind（SUSE-SU-2017:0999-1）	Nessus	SuSE Local Security Checks	2017/4/13	2021/1/6	high
99499	openSUSEセキュリティ更新プログラム：bind（openSUSE-2017-491）	Nessus	SuSE Local Security Checks	2017/4/20	2021/1/19	high
131607	EulerOS 2.0 SP2 : bind（EulerOS-SA-2019-2453）	Nessus	Huawei Local Security Checks	2019/12/4	2024/4/8	medium
168280	Ubuntu 16.04 ESM : Bind の脆弱性 (USN-5747-1)	Nessus	Ubuntu Local Security Checks	2022/11/29	2023/7/10	medium
106679	ISC BINDのゾーンデータのサービス拒否	Nessus	DNS	2018/2/8	2018/6/29	medium
93994	GLSA-201610-07：BIND：複数の脆弱性	Nessus	Gentoo Local Security Checks	2016/10/12	2021/1/11	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

medium

medium

medium

high