更新版 bind 套件可修正安全性弱點：

攻擊者可透過惡意建構的區域或惡意伺服器，利用 BIND 9 程式碼 (用於遵循網域名稱服務中的委派) 中的監督權，導致 BIND 為遵循委派而發出無限次的查詢。這可能會導致資源耗盡和拒絕服務 (最嚴重的情況包括終止 named 伺服器處理程序) (CVE-2014-8500)。

Jan-Piet Mens 發現，處理無效的 DNSSEC 金鑰變換時 BIND DNS 伺服器會當機，原因是區域運算子有錯誤，或是因為攻擊者干擾網路流量。此問題會影響具有指示詞 ‘dnssec-lookaside auto;’ (Mandriva 預設組態中為啟用) 或 ‘dnssec-validation auto;’ 的組態 (CVE-2015-1349)。

現已提供適用於 Slackware 13.0、13.1、13.37、14.0、14.1 和最新版本的新 bind 套件，可修正安全性問題。

遠端 OracleVM 系統缺少可解決重大安全性更新的必要修補程式：請參閱 Oracle VM 安全性公告 OVMSA-2020-0021 瞭解詳細資料。

遠端 OracleVM 系統缺少可解決重大安全性更新的必要修補程式：

  - 修復 CVE-2017-3136 (ISC 變更 4575)

  - 修復 CVE-2017-3137 (ISC 變更 4578)

  - 修復並測試 DNAME 之前的快取 CNAME (ISC 變更 4558)

  - 修復 CVE-2016-9147 (ISC 變更 4510)

  - 修復由 CVE-2016-8864 引入的回歸 (ISC 變更 4530)

  - 在 named 重新啟動之前還原 SELinux 上下文

  - 僅在 chroot 中已存在目錄時使用 /lib 或 /lib64

  - 加強 NSS 庫模式，轉義 chroot 掛載路徑

  - 修復 (CVE-2016-8864)

  - 不變更 chroot 中的 lib 權限 (#1321239)

  - 支援 chroot 中的 WKS 記錄 (#1297562)

  - 文件中不包含修補程式備份(修復 #1325081 修補程式)

  - 已反向移植 [RT #39567] 的相關部分 (#1259923)

  - 將 ISC_SOCKET_MAXEVENTS 增加至 2048 (#1326283)

  - 修復 nsupdate 腳本中上游等多個領域 (#1313286)

  - 修復 nsupdate 腳本中的多個領域 (#1313286)

  - 使用足夠高的 resolver-query-timeout 恢復所有轉發器 (#1325081)

  - 修復 (CVE-2016-2848)

  - 修復 start_lookup 中的無限循環 (#1306504)

  - 修復 (CVE-2016-2776)

远程 Ubuntu 14.04 LTS 主机上安装的程序包受到 USN-2437-1 公告中提及一个漏洞影响。

    Florian Maury 发现 Bind 未正确处理委派。远程攻击者可能利用此问题导致 Bind 消耗资源并崩溃，从而导致拒绝服务。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

为 Slackware 13.0、13.1、13.37、14.0、14.1 以及当前版本提供了用于修复安全问题的新 bind 程序包。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2016:0078 公告中提及的多个漏洞的影响。

    Berkeley Internet Name Domain (BIND) 是域名系统 (DNS) 协议的一种实现。BIND 包含一个 DNS 服务器 (named)、一个解析器库（与 DNS 接合时供应用程序使用的例程），以及用于验证 DNS 服务器是否正常运行的工具。

    在 BIND 接受 DNS 委派的方式中发现拒绝服务缺陷。远程攻击者可使用包含大量参照的特别构建的区域，在进行查找和处理时可导致 named 使用过多内存或崩溃。
    (CVE-2014-8500)

    在 BIND 针对 TKEY DNS 资源记录处理请求的方式中发现一个缺陷。远程攻击者可以利用此缺陷通过特别构建的 DNS 请求数据包导致 named（具有授权 DNS 服务器或 DNS 解析器的功能）意外退出并出现断言失败。
    (CVE-2015-5477)

    发现 BIND 解析特定的畸形 DNSSEC 密钥的方式中存在拒绝服务缺陷。远程攻击者可利用此缺陷发送特别构建的 DNS 查询（例如，要求来自包含故意畸形密钥的区域响应的查询）可导致用作验证解析器的 named 功能崩溃。 (CVE-2015-5722)

    在 BIND 处理包含畸形类属性的某些记录的方式中发现一个拒绝服务缺陷。远程攻击者可利用此缺陷发送查询以请求具有畸形类属性的缓存记录，这些属性可导致用作权威或递归服务器的 named 功能崩溃。 (CVE-2015-8000)

    注意：此问题影响授权服务器和递归服务器，但是如果授权服务器在进行递归查询以解析 NS RRSET 中列出的服务器的地址时执行认证，则会承受有限风险。

    Red Hat 在此感谢 ISC 报告 CVE-2015-5477、CVE-2015-5722 和 CVE-2015-8000 问题。上游感谢 CVE-2015-5477的原始报告者 Jonathan Foote 以及 CVE-2015-5722的原始报告者 Hanno Bck。

    建议所有 bind 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后，BIND 后台程序 (named) 将自动重新启动。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 OracleVM 系统缺少必要修补程序来解决关键安全更新：

- 修复 (CVE-2015-5477)

- 修复 (CVE-2015-4620)

- 解决：1215687 - DNS 解析在高负载环境中失败，日志中有 SERVFAIL 和“内存不足/成功”

- 修复 (CVE-2015-1349)

- 在编译过程中启用 RPZ-NSIP 和 RPZ-NSDNAME (#1176476)

- 修复使用 isc__begin_beginexclusive 时的争用条件 (#1175321)

- 审查 SDB API 以更好地处理数据库错误 (#1146893)

- 修复 CVE-2014-8500 (#1171974)

- 修复设置为 1 时的 RRL 滑动行为 (#1112356)

- 修复在使用 DYNDB 时导致 bind 在重新加载后挂起的问题 (#1142152)

CVE-2014-8500 ISC BIND 从 9.0.x 到 9.8.x 版本、从 9.9.0 到 9.9.6 版本以及从 9.10.0 到 9.10.1 版本未限制委派链，这允许远程攻击者通过大量或无限参照造成拒绝服务（内存消耗和命名崩溃）。

有关更多信息，请参阅：

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-8500

远程主机受到 GLSA-201502-03 中所述漏洞的影响（BIND：多种漏洞）

已在 BIND 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可因缺少 GeoIP 数据库或者通过大量或无限参照造成拒绝服务情况。
 变通方案：

目前无任何已知的变通方案。

ISC 报告：

我们如今已发布更新后的版本 9.9.6 和 9.10.1 来解决 DNS 解析中的重要安全漏洞。该缺陷由 ANSSI 的 Florian Maury 发现，适用于不支持递归数限制的任何递归解析器。
[CERTFR-2014-AVI-512]、[USCERT VU#264212]

可利用委派处理中的缺陷将 named 放入无限循环中，其中每次查找名称服务器都会触发更多名称服务器的额外查找。此问题已解决，具体方法为限制递归 named 允许的层数（默认为 7），以及限制终止递归查询之前将发送的查询数（默认为 50）。递归深度限制通过 max-recursion-depth 选项进行配置，查询限制通过 max-recursion-queries 选项进行配置。有关更多信息，请参阅安全公告：https://kb.isc.org/article/AA-01216/。
[CVE-2014-8500] [RT #37580]

此外，我们还修正了仅限 9.10.1 版本中 GeoIP 功能的潜在安全漏洞。有关此问题的更多信息，请参阅安全公告：https://kb.isc.org/article/AA-01217。[CVE-2014-8680]

更新后的 bind 程序包修复了安全漏洞：

通过使用恶意构建的区域或流氓服务器，攻击者可以利用代码 BIND 9 中的漏洞接受域名服务中的委派，从而使 BIND 尝试发出无限查询以接受委派。这样可导致资源耗尽和拒绝服务（直到包括 named 服务器进程终止在内的情况）(CVE-2014-8500)。

Jan-Piet Mens 发现在处理无效的 DNSSEC 密钥滚动期间，由于区域运算符的部分中存在错误或攻击者对网络流量的干扰，BIND DNS 服务器将崩溃。此问题影响包含指令“dnssec-lookaside auto;”（在 Mandriva 默认配置中启用）或“dnssec-validation auto;”的配置 (CVE-2015-1349)。

远程 OracleVM 系统缺少解决关键安全更新的必要补丁：有关详细信息，请参阅 Oracle VM 安全公告 OVMSA-2020-0021。

远程 OracleVM 系统缺少解决关键安全更新的必要补丁：

  - 修复 CVE-2017-3136（ISC 变更 4575）

  - 修复 CVE-2017-3137 （ISC 变更 4578）

  - 修复并测试 DNAME 之前的缓存 CNAME（ISC 变更 4558）

  - 修复 CVE-2016-9147（ISC 变更 4510）

  - 修复由 CVE-2016-8864 引入的回归（ISC 变更 4530）

  - 在 named 重新启动之前还原 SELinux 上下文

  - 仅在 chroot 中已存在目录时使用 /lib 或 /lib64

  - 加强 NSS 库模式，转义 chroot 挂载路径

  - 修复 (CVE-2016-8864)

  - 请勿更改 chroot 中的 lib 权限 (#1321239)

  - 支持 chroot 中的 WKS 记录 (#1297562)

  - 文档中不包含补丁备份（修复 #1325081 补丁）

  - 已向后移植 [RT #39567] 的相关部分 (#1259923)

  - 将 ISC_SOCKET_MAXEVENTS 增加至 2048 (#1326283)

  - 修复 nsupdate 脚本中上游等多个领域 (#1313286)

  - 修复 nsupdate 脚本中的多个领域 (#1313286)

  - 使用足够高的 resolver-query-timeout 恢复所有转发器 (#1325081)

  - 修复 (CVE-2016-2848)

  - 修复 start_lookup 中的无限循环 (#1306504)

  - 修复 (CVE-2016-2776)

Versions of ISC BIND earlier than 9.10.1-P1 are unpatched for the following vulnerabilities:

  - Denial of service vulnerability that can be triggered when handling a maliciously constructed query or zone request, causing the service to issue unlimited queries in an attempt to follow a delegation (CVE-2014-8500)

  - Denial of service vulnerability in the pre-fetch feature that is triggered when the response to a specially crafted DNS query contains particular attributes. (CVE-2014-3214)

  - Denial of service vulnerability in EDNS option processing  (CVE-2014-3859)

  - Denial of service in three unspecified flaws in the GeoIP feature (CVE-2014-8680)

Versions of ISC BIND earlier than 9.9.6-P1 are unpatched for a denial of service vulnerability that can be triggered when handling a maliciously constructed request. A maliciously constructed query or zone request can cause the service to issue unlimited queries in an attempt to follow a delegation, leading to a denial of service condition that terminates the 'named' service.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
82418	Mandriva Linux 安全性公告：bind (MDVSA-2015:165)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	high
82914	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 最新版本：bind (SSA:2015-111-01)	Nessus	Slackware Local Security Checks	2015/4/22	2021/1/14	high
137170	OracleVM 3.3 / 3.4：bind (OVMSA-2020-0021)	Nessus	OracleVM Local Security Checks	2020/6/5	2024/3/7	medium
99569	OracleVM 3.3 / 3.4：bind (OVMSA-2017-0066)	Nessus	OracleVM Local Security Checks	2017/4/21	2021/1/4	high
79854	Ubuntu 14.04 LTS：Bind 漏洞 (USN-2437-1)	Nessus	Ubuntu Local Security Checks	2014/12/10	2024/8/27	high
79866	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 当前版本：bind (SSA:2014-344-01)	Nessus	Slackware Local Security Checks	2014/12/15	2021/1/14	high
88479	RHEL 6：bind (RHSA-2016:0078)	Nessus	Red Hat Local Security Checks	2016/1/29	2025/4/15	critical
85146	OracleVM 3.3：bind (OVMSA-2015-0105)	Nessus	OracleVM Local Security Checks	2015/7/31	2021/1/4	high
81498	AIX 6.1 TL 8：bind9 (IV68993)	Nessus	AIX Local Security Checks	2015/2/25	2023/4/21	high
81502	AIX 5.3 TL 12：bind9 (IV68997)	Nessus	AIX Local Security Checks	2015/2/25	2023/4/21	high
81226	GLSA-201502-03：BIND：多种漏洞	Nessus	Gentoo Local Security Checks	2015/2/9	2021/1/11	high
79957	FreeBSD：bind -- 拒绝服务漏洞 (ab3e98d9-8175-11e4-907d-d050992ecde8)	Nessus	FreeBSD Local Security Checks	2014/12/15	2021/1/6	high
82418	Mandriva Linux 安全公告：bind (MDVSA-2015:165)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	high
82914	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 当前版本：bind (SSA:2015-111-01)	Nessus	Slackware Local Security Checks	2015/4/22	2021/1/14	high
137170	OracleVM 3.3 / 3.4：bind (OVMSA-2020-0021)	Nessus	OracleVM Local Security Checks	2020/6/5	2024/3/7	medium
99569	OracleVM 3.3 / 3.4：bind (OVMSA-2017-0066)	Nessus	OracleVM Local Security Checks	2017/4/21	2021/1/4	high
8569	ISC BIND 9.10.x < 9.10.1-P1 Multiple DoS	Nessus Network Monitor	DNS Servers	2014/12/15	2019/3/6	high
8602	ISC BIND 9.0.x < 9.9.6-P1 'named' Delegation Handling DoS	Nessus Network Monitor	DNS Servers	2014/12/15	2019/3/6	high

检测

插件搜索

high

high

medium

high

high

high

critical

high

high

high

high

high

high

high

medium

high

high

high