远程主机上安装的 dnsmasq 版本低于 2.76-16。因此，它受到 ALAS2-2026-4002 公告中提及的一个漏洞影响。

    Amazon Linuxvended DNS 解析器随附较低版本的 DNSSEC 根签名密钥。对于配置了启用 DNSSEC 验证的主机，这可导致 DNS 解析失败，包括未签名区域中的名称失败。这适用于解析器仍在使用程序包中随附的信任定位标记的情况;
    已通过 RFC 5011 获取新根密钥的解析器不受影响。

    2026 年 10 月 11 日 UTC 时间 14:00 ，DNS root zone 开始使用 KSK-2024（密钥标签 38696）签名，取代了 KSK-2017（密钥标签 20326）。打包的信任定位标记文件仅包含 KSK-2017，因此受影响的解析器无法验证根 DNSKEY RRset 并返回 SERVFAIL。

    更新后的程序包包含更新后的根签名密钥。

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2：dnsmasq (ALAS-2026-4002)

high Nessus 插件 ID 369105

版本 1.1