Response Policy Zones（RPZ）を使用する際の、BIND における DNS64 実装に欠陥が見つかりました。リモートの攻撃者が特別に細工されたクエリを、 RPZ リライトルールを使用している named サーバーに送信した場合、named はアサーション失敗によって予期せず終了する可能性があります。注意：DNS64 サポートは、デフォルトでは有効化されていません。(CVE-2012-5689)

Response Policy Zones（RPZ）を使用する際の、BIND における DNS64 実装に欠陥が見つかりました。リモートの攻撃者が特別に細工されたクエリを、 RPZ リライトルールを使用している named サーバーに送信した場合、named はアサーション失敗によって予期せず終了する可能性があります。注意：DNS64 サポートは、デフォルトでは有効化されていません。(CVE-2012-5689)

この更新により、次の拡張機能も追加されます：

- 以前は、1 つのクライアントに対して毎秒送信される応答の最大数を構成できませんでした。これにより、リモートの攻撃者は、偽装したソース IP アドレスを持つ DNS クエリを使用してトラフィックアンプ攻撃を実行できました。この更新によって、新しい「rate-limit」構成オプションを named.conf で使用したり、サーバーが応答するクエリの最大数を構成したりすることができます。「rate-limit」オプションの詳細については、BIND のドキュメントを参照してください。

更新のインストール後、BIND デーモン（named）が自動的に再起動します。

1 つのセキュリティの問題を修正し、1 つの拡張機能を追加する更新済みの bind パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Berkeley Internet Name Domain（BIND）は、ドメインネームシステム（DNS）プロトコルの実装です。BIND には、DNS サーバー（named）、リゾルバーライブラリ（DNS とインターフェイス接続する時に使用するアプリケーション用ルーチン）、および DNS サーバーが正常動作していることを検証するツールが含まれます。IPv6 ベースのクライアントが NAT64 サーバーを通じて IPv4 システムにアクセスできるように、 DNS64 を使用して DNS レコードを自動的に生成します。

Response Policy Zones（RPZ）を使用する際の、BIND における DNS64 実装に欠陥が見つかりました。リモートの攻撃者が特別に細工されたクエリを、 RPZ リライトルールを使用している named サーバーに送信した場合、named はアサーション失敗によって予期せず終了する可能性があります。注意：DNS64 サポートは、デフォルトでは有効化されていません。(CVE-2012-5689)

この更新により、次の拡張機能も追加されます：

* 以前は、1 つのクライアントに対して毎秒送信される応答の最大数を構成できませんでした。これにより、リモートの攻撃者は、偽装したソース IP アドレスを持つ DNS クエリを使用してトラフィックアンプ攻撃を実行できました。この更新によって、新しい「rate-limit」構成オプションを named.conf で使用したり、サーバーが応答するクエリの最大数を構成したりすることができます。「rate-limit」オプションの詳細については、BIND のドキュメントを参照してください。
（BZ#906312）

BIND のすべてのユーザーは、パッチが含まれるこれらの更新済みパッケージにアップグレードし、この問題を修正し、この拡張機能を追加することが推奨されます。更新のインストール後、BIND デーモン（named）が自動的に再起動します。

Jonathan Foote 氏は、Bind が特定の TKEY クエリを不適切に処理することを発見しました。リモートの攻撃者がこの問題を利用して、特別に細工されたパケットによって Bind をクラッシュさせて、サービス拒否を引き起こす可能性があります。(CVE-2015-5477)

Pories Ediansyah 氏は、Bind が DNS64 を伴う特定の構成を不適切に処理することを発見しました。リモートの攻撃者がこの問題を利用して、特別に細工されたクエリによって Bind をクラッシュさせて、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 12.04 LTSのみです。
(CVE-2012-5689)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストは GLSA-201401-34 で説明されている脆弱性の影響を受けます（BIND：サービス拒否）。

BIND に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、サービス拒否状態を引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

ISC BIND 9.8.x から 9.8.4-P1 および 9.9.x から 9.9.2-P1 は、AAAA リライトルールがない Response Policy Zone 付きの DNS64 が関係する特定の構成で、AAAA レコードへのクエリを通じてリモートの攻撃者がサービス拒否（アサーション失敗および named デーモン終了）を引き起こすことが可能です。

自己報告されたバージョン番号によると、悪意をもって細工された DNS リクエストを通じて、BIND のリモートインストールがクラッシュを強いられる可能性があります。注意：この脆弱性は、「dns64」構成オプションを使用しているインストールにのみ影響を及ぼします。さらに、Nessus は、バージョンそれ自体を頼りにしているだけであり、インストールが実際に影響を受けるかどうかを判断してみたことはないことに注意してください。

Red Hat セキュリティアドバイザリ 2013:0550 から：

1 つのセキュリティの問題を修正し、1 つの拡張機能を追加する更新済みの bind パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Berkeley Internet Name Domain（BIND）は、ドメインネームシステム（DNS）プロトコルの実装です。BIND には、DNS サーバー（named）、リゾルバーライブラリ（DNS とインターフェイス接続する時に使用するアプリケーション用ルーチン）、および DNS サーバーが正常動作していることを検証するツールが含まれます。IPv6 ベースのクライアントが NAT64 サーバーを通じて IPv4 システムにアクセスできるように、 DNS64 を使用して DNS レコードを自動的に生成します。

Response Policy Zones（RPZ）を使用する際の、BIND における DNS64 実装に欠陥が見つかりました。リモートの攻撃者が特別に細工されたクエリを、 RPZ リライトルールを使用している named サーバーに送信した場合、named はアサーション失敗によって予期せず終了する可能性があります。注意：DNS64 サポートは、デフォルトでは有効化されていません。(CVE-2012-5689)

この更新により、次の拡張機能も追加されます：

* 以前は、1 つのクライアントに対して毎秒送信される応答の最大数を構成できませんでした。これにより、リモートの攻撃者は、偽装したソース IP アドレスを持つ DNS クエリを使用してトラフィックアンプ攻撃を実行できました。この更新によって、新しい「rate-limit」構成オプションを named.conf で使用したり、サーバーが応答するクエリの最大数を構成したりすることができます。「rate-limit」オプションの詳細については、BIND のドキュメントを参照してください。
（BZ#906312）

BIND のすべてのユーザーは、パッチが含まれるこれらの更新済みパッケージにアップグレードし、この問題を修正し、この拡張機能を追加することが推奨されます。更新のインストール後、BIND デーモン（named）が自動的に再起動します。

リモートの OracleVM システムに、重要なセキュリティ更新に対処するために必要なパッチがありません。

- CVE-2014-8500 を修正します（#1171973）

- rndc.key ファイルの生成時に /dev/urandom を使用します（#951255）

- バグ #1092035 に対する修正によってもたらされた、偽造ファイルを /usr/share/doc から削除します

- TLSA リソースレコードに対するサポートを追加します（#956685）

- lwresd ワーカーに対するデフォルトを増加し、ワーカおよびクライアントオブジェクト数を構成可能にします（#1092035）

- -r オプション使用時の nsupdate のセグメンテーション違反を修正します（#1064045）

- UDP クエリ送信時のホストツールの送信バッファの競合状態を修正します（#1008827）

- allow-notify 構成ステートメントの TSIG を使用した認証を許可します（#1044545）

- /var/named/chroot/etc/localtime の SELinux コンテキストを修正します（#902431）

- root サーバーアドレスを持つ更新済み named.ca ファイルを含めます（#917356）

- 起動時に rndc.conf がある場合、rndc.key を生成しません（#997743）

- IDN の無効化方法に関する dig man ページを修正します（#1023045）

- ICMP 宛先到達不可（プロトコル到達不可）応答を処理します（#1066876）

- BIND を --with-dlopen=yes で構成して、動的にロード可能な DLZ ドライバーをサポートします（#846065）

- checkconfig/configtest/check/test の呼び出し時に正しい終了値を返すように initscript を修正します（#848033）

- 実行中のサーバーで initscript コマンド configtest を実行時に chroot ファイルシステムを（アン）マウントしません（#851123）

- 「.」または「-」を含むか、数字で始まるゾーンを受け入れるように zone2sqlite ツールを修正します（#919414）

- named が既に実行している chroot ファイルシステムをマウントしないように initscript を修正します（#948743）

- PID ファイルの PID が本当に実行している named サーバーの s PID であるかどうかをチェックするよう initscript を修正します（#980632）

- インストールされたドキュメントの所有権を修正します（#1051283）

- filter-aaaa-on-v4 オプションの使用を有効にするために --enable-filter-aaaa で構成します（#1025008）

- リゾルバーフェッチオブジェクト破壊時の競合状態を修正します（#993612）

- referrals-per-second および nodata-per-second オプションを含めるよう RRL 機能を修正します（#1036700）

- NXDOMAIN フェールオーバーに対する SERVFAIL のセグメンテーション違反を修正します（#919545）

-（CVE-2014-0591）を修正します。

- gssapictx メモリリークを修正します（#911167）

-（CVE-2013-4854）を修正します。

-（CVE-2013-2266）を修正します。

- dns/rrl.h を -devel サブパッケージで出荷します

- RRL パッチによってもたらされた、1 つの偽造ファイルを /usr/share/doc から削除します

-（CVE-2012-5689）を修正します。

- 応答レート制限パッチを追加します（#873624）

リモートのOracleVMシステムには、重大なセキュリティ更新に対処するために必要なパッチがありません：- CVE-2017-3136（ISC change 4575）の修正 - CVE-2017-3137（ISC change 4578）の修正 - DNAMEの前のCNAMEのキャッシュを修正しテスト（ISC change 4558）- CVE-2016-9147（ISC change 4510）の修正 - CVE-2016-8864（ISC change 4530）に導入された回帰を修正 - namedの再起動前のSELinuxコンテキストを復元 - chrootにディレクトリがすでにある場合/libまたは/lib64のみを使用 - NSSライブラリパターンを強化し、chrootマウントパスをエスケープ -（CVE-2016-8864）の修正 - chrootでlib権限を変更しない（#1321239）- chrootでWKSレコードをサポート（#1297562）- docsにパッチバックアップを含めない（fixes #1325081 patch）- バックポートされた[RT #39567]（#1259923）の関連パーツ - ISC_SOCKET_MAXEVENTSを2048に増加（#1326283）- nsupdateスクリプトの複数のレルムをアップストリームのように修正（#1313286）- nsupdateスクリプトの複数レルムを修正（#1313286）- すべてのフォワーダを回復するのに十分な高さでresolver-query-timeoutを使用（#1325081）-（CVE-2016-2848）の修正 - start_lookupの無限ループを修正（#1306504）-（CVE-2016-2776）の修正

リモートOracleVMシステムに、重大なセキュリティ更新に対処するために必要なパッチが、欠落しています：詳細については、Oracle VMセキュリティアドバイザリ OVMSA-2020-0021 を参照してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
69717	Amazon Linux AMI：bind（ALAS-2013-158）	Nessus	Amazon Linux Local Security Checks	2013/9/4	2018/4/18	high
64948	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の bind	Nessus	Scientific Linux Local Security Checks	2013/3/1	2021/1/14	high
64793	RHEL 6：bind（RHSA-2013:0550）	Nessus	Red Hat Local Security Checks	2013/2/22	2021/1/14	high
85081	Ubuntu 14.04 LTS : Bind の脆弱性 (USN-2693-1)	Nessus	Ubuntu Local Security Checks	2015/7/29	2023/10/20	critical
72208	GLSA-201401-34：BIND：サービス拒否	Nessus	Gentoo Local Security Checks	2014/1/30	2021/1/6	high
88432	F5 Networks BIG-IP：BIND 脆弱性（SOL14601）	Nessus	F5 Networks Local Security Checks	2016/1/28	2021/3/10	high
106136	ISC BIND 9 DNS64処理のDoS（CVE-2012-5689）	Nessus	DNS	2018/1/18	2019/11/8	medium
68763	Oracle Linux 6：bind（ELSA-2013-0550）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
80247	OracleVM 3.3：bind（OVMSA-2014-0084）	Nessus	OracleVM Local Security Checks	2014/12/26	2021/1/4	high
65158	CentOS 6：bind（CESA-2013:0550）	Nessus	CentOS Local Security Checks	2013/3/10	2021/1/4	high
99569	OracleVM 3.3/3.4：bind（OVMSA-2017-0066）	Nessus	OracleVM Local Security Checks	2017/4/21	2021/1/4	high
137170	OracleVM 3.3 / 3.4：bind（OVMSA-2020-0021）	Nessus	OracleVM Local Security Checks	2020/6/5	2024/3/7	medium

検出

プラグインの検索

high

high

high

critical

high

high

medium

high

high

high

high

medium