因此，该软件受到 ALAS2023-2026-3137 公告中提及的多个漏洞影响。

    对于传输受到 TSIG 限制的辅助区域，“named”可能会在带有 TSIG 签名的最终消息到达之前开始提供区域传输中提供的数据。允许实际不拥有有效 TSIG 签名的攻击者将未经授权的区域内容发送到辅助服务器。
    尽管没有 TSIG 签名，“named”也不会回滚到传输前状态。若要恶意利用此漏洞，传输必须为多消息 TCP IXFR，如 RFC 8945 所述。此问题影响 BIND 9 9.11.0 版本到 9.18.50、 到 9.20.09.20.27、 9.21.09.21.25、 到 、 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-19033）

    攻击者可以造成“named”解析器中止。此攻击需要诱使受害者解析器发送多个查询，查询至由攻击者控制下的授权服务器托管的 DNSSEC 签名区域。如果认证以特定序列的特制答案进行响应，并且这些回复以特定顺序和特定时间到达，“named”解析器将遭遇释放后使用错误并中止。此问题影响 BIND 9 9.11.0 到 9.18.509.11.3-S1 9.20.09.20.27到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-19662）

    在配置为使用“dns64”的解析器上，如果来自授权服务器的适用应答以特定方式畸形，解析器“named”进程将意外退出。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-19666）

    如果攻击者控制的权威服务器可以生成正好为 65536 字节的负答复，则“named”中的缺陷将导致 0 字节的负缓存条目。随后读取此条目时，“named”将中止。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-19667）

    “named”解析器可能会接受不适用的 NSEC 记录作为不存在通配符的证明，这可允许区域名称相同或上游级别的攻击者掩盖受害者的通配符记录的存在。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。
    (CVE-2026-19941)

    在查询响应中，攻击者可能会发送本应仅存在一次的记录（如 SOA 记录）的 'named' 多个副本。如果所有副本上的 RDATA 相同，记录将附加到内存中的 RDATA 集，这可导致增加负缓存的内存使用，并可能导致其他内存攻击载体。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-75029）

    畸形区域可能在其原点上方包含 NS 或 DNAME 节点，“named”将其视为区域剪切。如果攻击者将畸形区域插入 BIND 授权服务器（例如通过区域传输），则查询配置区域内的名称会失去授权状态并返回区域外委派。
    在也提供递归的服务器上，BIND 可跟随此本地来源的剪切和缓存攻击者提供的数据，进而影响配置区域以外的名称。只要畸形区域仍在区域数据库中，这种情况就会持续存在。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-78301）

    如果 BIND 解析器发送针对 DNSSEC 签名的授权区域的查询，而授权服务器回复的是有效的通配符回答和签名的 NSEC3 证明，后跟所有者名称相同的未签名 NSEC，则将触发意外程序退出。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-80274）

    遇到引用 14 个或更多 SVCB/HTTPS ServiceMode 记录的 SVCB/HTTPS AliasMode 记录的 BIND 解析器可能无法正确释放内部资源。如果这种情况反复发生，资源耗尽最终将阻止解析器执行新的递归查找。此问题影响 BIND 9 版本9.18.09.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.18.11-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-81563）

    如果 BIND 解析器缓存了 SVCB/HTTPS AliasMode 记录的树，然后查询该树的根，解析器将花费不成比例的 CPU 时间来构建响应。此问题影响 BIND 9 版本9.18.09.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.18.11-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-81736）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023：bind、bind-chroot、bind-devel (ALAS2023-2026-3137)

medium Nessus 插件 ID 351047

版本 1.1