Amazon Linux 2：bind (ALAS-2026-3995)
medium Nessus 插件 ID 365245
语言：
简介
远程 Amazon Linux 2 主机缺少安全更新。描述
远程主机上安装的 bind 版本低于 9.11.4-26.P2。因此，该软件受到 ALAS2-2026-3995 公告中提及的多个漏洞影响。对于传输受到 TSIG 限制的辅助区域，“named”可能会在带有 TSIG 签名的最终消息到达之前开始提供区域传输中提供的数据。允许实际不拥有有效 TSIG 签名的攻击者将未经授权的区域内容发送到辅助服务器。
尽管没有 TSIG 签名，“named”也不会回滚到传输前状态。若要恶意利用此漏洞，传输必须为多消息 TCP IXFR，如 RFC 8945 所述。此问题影响 BIND 9 9.11.0 版本到 9.18.50、 到 9.20.09.20.27、 9.21.09.21.25、 到 、 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-19033）
攻击者可以造成“named”解析器中止。此攻击需要诱使受害者解析器发送多个查询，查询至由攻击者控制下的授权服务器托管的 DNSSEC 签名区域。如果认证以特定序列的特制答案进行响应，并且这些回复以特定顺序和特定时间到达，“named”解析器将遭遇释放后使用错误并中止。此问题影响 BIND 9 9.11.0 到 9.18.509.11.3-S1 9.20.09.20.27到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-19662）
在配置为使用“dns64”的解析器上，如果来自授权服务器的适用应答以特定方式畸形，解析器“named”进程将意外退出。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-19666）
“named”解析器可能会接受不适用的 NSEC 记录作为不存在通配符的证明，这可允许区域名称相同或上游级别的攻击者掩盖受害者的通配符记录的存在。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。
(CVE-2026-19941)
在查询响应中，攻击者可能会发送本应仅存在一次的记录（如 SOA 记录）的 'named' 多个副本。如果所有副本上的 RDATA 相同，记录将附加到内存中的 RDATA 集，这可导致增加负缓存的内存使用，并可能导致其他内存攻击载体。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-75029）
畸形区域可能在其原点上方包含 NS 或 DNAME 节点，“named”将其视为区域剪切。如果攻击者将畸形区域插入 BIND 授权服务器（例如通过区域传输），则查询配置区域内的名称会失去授权状态并返回区域外委派。
在也提供递归的服务器上，BIND 可跟随此本地来源的剪切和缓存攻击者提供的数据，进而影响配置区域以外的名称。只要畸形区域仍在区域数据库中，这种情况就会持续存在。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-78301）
如果 BIND 解析器发送针对 DNSSEC 签名的授权区域的查询，而授权服务器回复的是有效的通配符回答和签名的 NSEC3 证明，后跟所有者名称相同的未签名 NSEC，则将触发意外程序退出。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-80274）
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行 'yum update bind' 或 '/或 'yum update --advisory ALAS2-2026-3995' 以更新系统。另见
https://alas.aws.amazon.com//AL2/ALAS2-2026-3995.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-19033.html
https://explore.alas.aws.amazon.com/CVE-2026-19662.html
https://explore.alas.aws.amazon.com/CVE-2026-19666.html
https://explore.alas.aws.amazon.com/CVE-2026-19941.html
https://explore.alas.aws.amazon.com/CVE-2026-75029.html
插件详情
严重性: Medium
ID: 365245
文件名: al2_ALAS-2026-3995.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/10/12
最近更新时间: 2026/10/12
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.2
百分位: 96.33
CVSS v2
风险因素: Medium
基本分数: 6.1
时间分数: 4.5
矢量: CVSS2#AV:N/AC:H/Au:N/C:N/I:C/A:P
CVSS 分数来源: CVE-2026-19033
CVSS v3
风险因素: Medium
基本分数: 6.5
时间分数: 5.7
矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:L
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:bind-chroot, p-cpe:/a:amazon:linux:bind-debuginfo, p-cpe:/a:amazon:linux:bind-devel, p-cpe:/a:amazon:linux:bind-export-devel, p-cpe:/a:amazon:linux:bind-export-libs, p-cpe:/a:amazon:linux:bind-libs-lite, p-cpe:/a:amazon:linux:bind-libs, p-cpe:/a:amazon:linux:bind-license, p-cpe:/a:amazon:linux:bind-lite-devel, p-cpe:/a:amazon:linux:bind-pkcs11-devel, p-cpe:/a:amazon:linux:bind-pkcs11-libs, p-cpe:/a:amazon:linux:bind-pkcs11-utils, p-cpe:/a:amazon:linux:bind-pkcs11, p-cpe:/a:amazon:linux:bind-sdb-chroot, p-cpe:/a:amazon:linux:bind-sdb, p-cpe:/a:amazon:linux:bind-utils, p-cpe:/a:amazon:linux:bind
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/10/12
漏洞发布日期: 2026/9/16
参考资料信息
CVE: CVE-2026-19033, CVE-2026-19662, CVE-2026-19666, CVE-2026-19941, CVE-2026-75029, CVE-2026-78301, CVE-2026-80274
IAVA: 2026-A-1029