更新后的 unbound 程序包修复了一个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有低安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

unbound 程序包提供了一个验证、递归、缓存 DNS 或 DNSSEC 解析器。

发现 unbound 中存在拒绝服务缺陷，攻击者可以利用此缺陷诱骗 unbound 解析器进入委派死循环，从而消耗过量资源。
(CVE-2014-8602)

此更新还修复以下缺陷：

* 此次更新之前，用于调用 unbound-anchor 以更新 root 区域密钥的 cron 作业时间配置中存在错误。
因此，会每月调用一次 unbound-anchor（而非每天），这不符合 RFC 5011。已将 cron 作业替换为每天都会调用的系统计时器单元。现在，每天都会在 24 小时内的某个随机时间点检查 root 区域密钥的有效性，进而确保与 RFC 5011 相符。(BZ#1180267)

* 以前，unbound 程序包针对 systemd-tmpfiles 实用工具将配置文件安装到 /etc/tmpfiles.d/ 目录中。因此，重新安装或更新程序包时，会覆盖管理员在 /etc/tmpfiles.d/ 中对 unbound 做出的更改。为修复此缺陷，已修改 unbound，使其将配置文件安装到 /usr/lib/tmpfiles.d/ 目录中。因此，重新安装或更新程序包时，系统管理员在 /etc/tmpfiles.d/ 中的配置（包括任何更改）会保留下来。(BZ#1180995)

* unbound 服务器默认配置包含对使用 DNSSEC 域旁路验证 (DLV) 注册表的 DNS 记录的验证。由于不再需要 DLV 注册表服务，且 unbound 可能执行不必要的步骤，Internet Systems Consortium (ISC) 计划将其弃用。因此，已经从 unbound 服务器默认配置中删除对 DLV 注册表的使用。现在 unbound 不会尝试使用 DLV 注册表执行 DNS 记录验证。(BZ#1223339)

建议所有 unbound 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

检测

CentOS 7：unbound (CESA-2015:2455)

medium Nessus 插件 ID 87159

未找到变更日志