An update of the bindutils package has been released.

遠端 Ubuntu 24.10 / 25.04 主機上安裝的套件受 USN-7526-1 公告中所提及的一個弱點影響。

    據發現Bind 未正確處理某些具有無效 TSIG 的 DNS 訊息。遠端攻擊者可能利用此問題造成 Bind 損毀，進而導致拒絕服務。

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Ubuntu 24.10/25.04 主机上安装的程序包受到 USN-7526-1 公告中提及的漏洞的影响。

    发现 Bind 未能正确处理某些包含无效 TSIG 的 DNS 消息。远程攻击者可能利用此问题造成 Bind 崩溃，从而导致拒绝服务。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Ubuntu 24.10 / 25.04 host has packages installed that are affected by a vulnerability as referenced in the USN-7526-1 advisory.

    It was discovered that Bind incorrectly handled certain DNS messages with invalid TSIG. A remote attacker     could possibly use this issue to cause Bind to crash, resulting in a denial of service.

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2025:01787-1 advisory.

    Update to version 9.20.9.

    - Security issues fixed:

      * CVE-2025-40775: denial-of-service due to assertion failure caused by the processing of a NS message     with an invalid         TSIG (bsc#1243361).
      * CVE-2024-12705: CPU and memory exhaustion due to DNS-over-HTTPS issues that arise under heavy query     load         (bsc#1236597).
      * CVE-2024-11187: CPU exhaustion when processing queries that lead to responses containing several     records in the         Additional data section (bsc#1236596).

    - Changelog:

      - Feature changes:
        * Performance optimization for NSEC3 lookups introduced in BIND 9.20.2           was reverted to avoid risks associated with a complex code change.
        * The configuration clauses parental-agents and primaries are renamed           to remote-servers.
        * Add none parameter to query-source and query-source-v6 to disable           IPv4 or IPv6 upstream queries but allow listening to queries from           clients on IPv4 or IPv6.
        * dnssec-ksr now supports KSK rollovers.
        * Print RFC 7314: EXPIRE option in transfer summary.
        * Emit more helpful log messages for exceeding max-records-per-type.
        * Harden key management when key files have become unavailable.

      - New Features:
        * Add support for EDE 20 (Not Authoritative).
        * Add support for EDE 7 and EDE 8.
        * `dig` can now display the received BADVERS message during           negotiation.
        * Add an `rndc` command to reset some statistics counters.
        * Implement the min-transfer-rate-in configuration option.
        * Add HTTPS record query to host command line tool.
        * Implement sig0key-checks-limit and sig0message-checks-limit.
        * Adds support for EDE code 1 and 2.
        * Add an rndc command to toggle jemalloc profiling.
        * Add support for multiple extended DNS errors.
        * Print the expiration time of stale records.
        * Add Extended DNS Error Code 22 - No Reachable Authority.
        * Add a new option to configure the maximum number of outgoing queries           per client request.
        * Use the Server Name Indication (SNI) extension for all outgoing TLS           connections.
        * Update built-in bind.keys file with the new 2025 IANA root key.
        * Add an initial-ds entry to bind.keys for the new root key, ID           38696, which is scheduled for publication in January 2025.

      - Bug Fixes:
        * Restore NSEC3 closest-encloser lookup improvements.
        * Stop caching lack of EDNS support.
        * Fix resolver statistics counters for timed-out responses.
        * Nested DNS validation could cause an assertion failure.
        * Wait for memory reclamation to finish in `named-checkconf`.
        * Ensure `max-clients-per-query` is at least `clients-per-query`.
        * Fix write after free in validator code.
        * Don't enforce NOAUTH/NOCONF flags in DNSKEYs.
        * Fix several small DNSSEC timing issues.
        * Fix inconsistency in CNAME/DNAME handling during resolution.
        * Fix dual-stack-servers configuration option.
        * Fix a data race causing a permanent active client increase.
        * Fix deferred validation of unsigned DS and DNSKEY records.
        * Fix RPZ race condition during a reconfiguration.
        * 'CNAME and other data check' not applied to all types.
        * Relax private DNSKEY and RRSIG constraints.
        * Remove NSEC/DS/NSEC3 RRSIG check from dns_message_parse().
        * Fix TTL issue with ANY queries processed through RPZ 'passthru';.
        * dnssec-signzone needs to check for a NULL key when setting offline.
        * Fix a bug in the statistics channel when querying zone transfer           information.
        * Fix assertion failure when dumping recursing clients.
        * Dump the active resolver fetches from dns_resolver_dumpfetches().
        * Recently expired records could be returned with a timestamp in           future.
        * YAML string not terminated in negative response in delv.
        * Fix a bug in dnssec-signzone related to keys being offline.
        * Apply the memory limit only to ADB database items.
        * Avoid unnecessary locking in the zone/cache database.
        * Fix reporting of Extended DNS Error 22 (No Reachable Authority).
        * Fix nsupdate hang when processing a large update.
        * Fix possible assertion failure when reloading server while           processing update policy rules.
        * Preserve cache across reconfig when using attach-cache.
        * Resolve the spurious drops in performance due to glue cache.
        * Fix dnssec-signzone signing non-DNSKEY RRsets with revoked keys.
        * Fix improper handling of unknown directives in resolv.conf.
        * Fix response policy zones and catalog zones with an $INCLUDE           statement defined.
        * Use TLS for notifies if configured to do so.
        * Notifies configured to use TLS will now be sent over TLS, instead of           plain text UDP or TCP. Also, failing to load the TLS           configuration for notify now results in an error.'
        * {&dns} is as valid as {?dns} in a SVCB's dohpath.
        * dig failed to parse a valid SVCB record with a dohpath URI template           containing a {&dns}, like           'dohpath=/some/path?key=value{&dns}';.
        * Fix NSEC3 closest encloser lookup for names with empty non-terminals.
        * A previous performance optimization for finding the NSEC3 closest           encloser when generating authoritative responses could cause servers           to return incorrect NSEC3 records in some cases. This has been fixed.
        * recursive-clients statement with value 0 triggered an assertion           failure.
        * BIND 9.20.0 broke recursive-clients 0;. This has now been fixed.
        * Parsing of hostnames in rndc.conf was broken.
        * When DSCP support was removed, parsing of hostnames in rndc.conf was           accidentally broken, resulting in an assertion failure. This has been           fixed.
        * `dig` options of the form [+-]option=<value> failed to display           the value on the printed command line. This has been fixed.
        * Provide more visibility into TLS configuration errors by logging           SSL_CTX_use_certificate_chain_file() and           SSL_CTX_use_PrivateKey_file() errors individually.
        * Fix a race condition when canceling ADB find which could cause an           assertion failure.
        * SERVFAIL cache memory cleaning is now more aggressive; it no longer           consumes a lot of memory if the server encounters many SERVFAILs at           once.
        * Fix trying the next primary XoT server when the previous one was           marked as unreachable.
        * In some cases named failed to try the next primary server in the           primaries list when the previous one was marked as unreachable. This           has been fixed.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Ubuntu 24.10 / 25.04 ホストには、USN-7526-1 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    Bindで無効なTSIGのある特定のDNSメッセージが不適切に処理されることがわかりました。リモートの攻撃者がこの問題を悪用してBindをクラッシュさせ、サービス拒否を引き起こす可能性があります。

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2025:01787-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 9.20.9 に更新してください。

    - 修正されたセキュリティ問題:

      * CVE-2025-40775無効な TSIG を持つ NS メッセージの処理によって引き起こされるアサーションエラーによるサービス拒否bsc#1243361。
      * CVE-2024-12705クエリの高負荷で発生する DNS-over-HTTPS の問題による、CPU およびメモリの枯渇bsc#1236597。
      * CVE-2024-11187追加データセクションで複数のレコードを含む応答につながるクエリを処理する際の CPU 枯渇bsc#1236596

    - 変更ログ：

      - 機能の変更:
        * 複雑なコード変更に関連するリスクを回避するために、BIND 9.20.2 で導入された NSEC3 検索のパフォーマンス最適化が元に戻されました。
        * 構成条項 parent-agents および primaries の名前が remote-servers に変更されます。
        * query-source および query-source-v6 にパラメーターなしを追加して、IPv4 または IPv6 の Upstream クエリを無効にしますが、IPv4 または IPv6 上のクライアントからのクエリのリッスンを許可します。
        * dnssec-ksr は現在 KSK ロールオーバーをサポートするようになりました。
        * RFC 7314転送サマリーでの EXPIRE オプションを出力します。
        * max-records-per-type の超過に対して役立つログメッセージを追加。
        * 鍵ファイルが利用可能になった場合には鍵管理を強化します。

      - 新機能
        * EDE 20 に対するサポートを追加します権限がありません。
        * EDE 7 および EDE 8 のサポートを追加します。
        * 「dig」は、ネゴシエーション中に受信した BADVERS メッセージを表示できるようになりました。
        * 「rndc」コマンドを追加して、いくつかの統計カウンターをリセットします。
        * min-transfer-rate-in 構成オプションを実装します。
        * HTTPS レコードクエリをホストコマンドラインツールに追加します。
        * sig0key-checks-limit および sig0message-checks-limit を実装します。
        * EDE コード 1 および 2 向けのサポートを追加します。
        * rndc コマンドを追加して、jemalloc プロファイリングをトグルします。
        * 複数の拡張 DNS エラーのサポートを追加します。
        * 古いレコードの有効期限を印刷します。
        * Extended DNS Error Code 22 の追加 - 到達可能な認証局がありません。
        * 新しいオプションを追加し、クライアントリクエストごとの送信クエリの最大数を構成します。
        * すべての発信 TLS 接続には、Server Name IndicationSNI 拡張を使用します。
        * ビルトイン bind.keys ファイルを新しい 2025 IANA root キーで更新します。
        * 2025 年 1 月に公開予定の新しい root キー ID 38696 用の bind.keys に initial-ds エントリを追加します。

      - バグ修正:
        * NSEC3 の直近含む検索の改善を復元します。
        * EDNS サポートの欠落したキャッシュを停止します。
        * タイムアウト応答用のリゾルバー統計カウンターを修正。
        * ネスト化された DNS 検証により、アサーション失敗が発生する可能性があります。
        * 「named-checkconf」でメモリ再利用が完了するまで待機します。
        * 「max-clients-per-query」が少なくとも「clients-per-query」であることを確認してください。
        * バリデーターコードへの書き込みを修正します。
        * DNSKEY で NOAUTH/NOCONF フラグを強制しません。
        * いくつかの軽微な DNSSEC タイミング問題を修正します。
        * 解決中の CNAME/DNAME 処理の不整合を修正します。
        * Dual-stack-servers 構成オプションを修正。
        * 永続的なアクティブクライアントの増加を引き起こすデータ競合を修正。
        * 署名されていない DS および DNSKEY レコードの延期された検証を修正します。
        * 再構成中の RPZ の競合状態を修正します。
        * 「CNAME およびその他のデータチェック」は、すべてのタイプに適用されません。
        * プライベート DNSKEY および RRSIG 制約を緩和します。
        * NSEC/DS/NSEC3 RRSIG チェックを dns_message_parse() から削除します。
        * RPZ「passthru」を通じて処理された ANY クエリの TTL 問題を修正します
        * dnssec-signzone は、オフライン設定時に NULL キーをチェックする必要があります。
        * ゾーン転送情報をクエリする際の統計チャネルのバグを修正。
        * 再帰クライアントをダンプする際のアサーションエラーを修正します。
        * dns_resolver_dumpfetches() からアクティブリゾルバーフェッチをダンプします。
        * 最近期限切れのレコードは、今後タイムスタンプ付きで返される可能性があります。
        * YAML 文字列が delv の負の応答で終了しません。
        * オフラインになっているキーに関連する dnssec-signzone のバグを修正します。
        * メモリ制限を ADB データベースアイテムのみに適用します。
        * ゾーン/キャッシュデータベースでの不必要なロッキングを回避します。
        * 拡張 DNS エラー 22到達可能な認証局がありませんのレポートを修正します。
        * 大規模な更新を処理する際の nsupdate のハングアップを修正。
        * 更新ポリシールールの処理中にサーバーをリロードする際の潜在的なアサーション失敗を修正します。
        * attach-cache を使用するときの再構成でキャッシュを保持します。
        * グルーキャッシュによるパフォーマンスの低下を解決。
        * 取り消されたキーで非 DNSKEY RRsets に署名する dnssec-signzone を修正します。
        * resolv.conf の未知のディレクティブの不適切な処理を修正します。
        * で応答ポリシーゾーンと カタログゾーンを修正します $INCLUDE 定義済みのステートメントです。
        * TLS が設定されている場合、通知に TLS を使用します。
        * TLS を使用するように構成された通知が、平文 UDP や TCP ではなく、TLS で送信されるようになりました。また、notify 用の TLS 構成のロードに失敗すると、エラーが発生します」が発生します。
        * {&dns} は SVCB の dohpath で {?dns} と同等に有効です。
        * dig は、「dohpath=/some/path?key=value{&dns}」などの、{&dns} を含む dohpath URI テンプレートで有効な SVCB レコードの解析に失敗していました。
        * 空白の非終端を持つ名前に対する NSEC3 の直近参照検索を修正します。
        * 承認的な応答を生成する際に NSEC3 の直近のエンクロージャを見つけるための以前のパフォーマンスの最適化により、サーバーが正しくない NSEC3 レコードを返す場合がありました。これは修正されました。
        * 値 0 の recursive-clients ステートメントは、アサーションの失敗を誘発しました。
        * BIND 9.20.0 recursive-clients 0 を破壊します 。これは現在修正されました。
        * rndc.conf のホスト名の解析が壊れていました。
        * DSCP サポートが削除された際、rndc.conf のホスト名の解析が意図せず破損し、アサーション失敗が発生しました。これは修正されました。
        * [+-]option=<value> 形式の「dig」オプションは、印刷されたコマンドラインに値を表示できませんでした。これは修正されました。
        * SSL_CTX_use_certificate_chain_file() と SSL_CTX_use_PrivateKey_file() のエラーを個別に記録することで、TLS 構成エラーをさらに可視化します。
        * アサーション失敗を引き起こす可能性のある ADB 検索をキャンセルする際の競合状態を修正します。
        * SERVFAIL キャッシュメモリクリーニングがより積極的になりました。サーバーが一度に多くの SERVFAIL に遭遇した場合、大量のメモリを消費することがなくなりました。
        * 前のプライマリ XoT サーバーが到達不能としてマークされたときの次のプライマリ XoT サーバーの試行を修正。
        * いくつかの事例で、前のサーバーが到達不能としてマークされたとき、named がプライマリリストの次のプライマリサーバーの試行に失敗することがありました。これは修正されました。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
237574	Photon OS 5.0: Bindutils PHSA-2025-5.0-0525	Nessus	PhotonOS Local Security Checks	2025/5/30	2025/5/30	high
237026	Ubuntu 24.10 / 25.04 : Bind 弱點 (USN-7526-1)	Nessus	Ubuntu Local Security Checks	2025/5/21	2025/5/23	high
237026	Ubuntu 24.10 / 25.04 Bind 漏洞 (USN-7526-1)	Nessus	Ubuntu Local Security Checks	2025/5/21	2025/5/23	high
237026	Ubuntu 24.10 / 25.04 : Bind vulnerability (USN-7526-1)	Nessus	Ubuntu Local Security Checks	2025/5/21	2025/5/23	high
237601	SUSE SLED15 / SLES15 Security Update : bind (SUSE-SU-2025:01787-1)	Nessus	SuSE Local Security Checks	2025/5/31	2025/5/31	high
237026	Ubuntu 24.10 / 25.04 Bind の脆弱性USN-7526-1	Nessus	Ubuntu Local Security Checks	2025/5/21	2025/5/23	high
237601	SUSE SLED15 / SLES15 のセキュリティ更新 : bind (SUSE-SU-2025:01787-1)	Nessus	SuSE Local Security Checks	2025/5/31	2025/5/31	high

检测

插件搜索

high

high

high

high

high

high

high