NewStart CGSL MAIN 4.05：bind 多個弱點 (NS-SA-2019-0102)

medium Nessus Plugin ID 127330

語系：

概要

遠端機器受到多個弱點的影響。

說明

執行 MAIN 4.05 版的遠端 NewStart CGSL 主機安裝了受多個弱點影響的 bind 套件：- 在 BIND 針對動態更新處理 TSIG 驗證的方式中，發現一個缺陷。可與授權 BIND 伺服器通訊的遠端攻擊者可利用此缺陷，藉由偽造適用於動態更新要求的有效 TSIG 或 SIG(0) 簽名，來操控某個區域的內容。(CVE-2017-3143) - 在 BIND 針對 AXFR 要求處理 TSIG 驗證的方式中，發現一個缺陷。可與授權 BIND 伺服器通訊的遠端攻擊者可利用此缺陷，藉由傳送特製的要求通訊端，來檢視某區域的完整內容。(CVE-2017-3142) - 在 BIND 處理 DNSSEC 驗證的方式中發現一個拒絕服務缺陷。遠端攻擊者可利用此缺陷，透過特製的 DNS 回應造成非預期具名結束 (因宣告失敗)。(CVE-2017-3139) - 在 BIND 處理含有 CNAME 或 DNAME 資源記錄 (順序異常) 的查詢回應的方式中，發現一個拒絕服務缺陷。遠端攻擊者可利用此缺陷，透過特製的 DNS 回應造成非預期具名結束 (因宣告失敗)。(CVE-2017-3137) - 據發現，若要求 BIND 中輕量型解析器通訊協定實作解析長度超過允許上限的查詢名稱 (與搜尋清單項目結合處理)，該解析器可能會進入無限遞迴並損毀。遠端攻擊者可利用此缺陷，在 named.conf 中使用 lwres 陳述式時，造成 lwresd 或 named 損毀。(CVE-2016-2775) - 在 BIND 處理查詢要求 (同時使用 DNS64 及 break-dnssec yes 選項時) 的方式中，發現一個拒絕服務缺陷。遠端攻擊者可利用此缺陷，透過特製的 DNS 要求造成非預期具名結束 (因宣告失敗)。(CVE-2017-3136) 請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。