遠端 Redhat Enterprise Linux 8 主機上安裝的多個套件受到 RHSA-2024:2720 公告中提及的多個弱點影響。

  - BIND 9.11.0 -> 9.11.36 9.12.0 -> 9.16.26 9.17.0 -> 9.18.0 BIND 受支援的預覽版本：9.11.4-S1 -> 9.11.36-S1 9.16.8-S1 -> 9.16.26-S1 低於 9.1.0 版本 (包括支援的預覽版本) 的 BIND 9 也會受到影響，但尚未經過測試，原因是這些版本目前是 EOL。
    快取可能因不正確的記錄而遭到破壞，進而導致對錯誤的伺服器進行查詢，這也有可能導致將錯誤的資訊傳回給用戶端。(CVE-2021-25220)

  - 攻擊者可藉由讓利用此缺陷的查詢涌入目標解析器，來顯著降低解析器的效能，有效地拒絕合法用戶端存取 DNS 解析服務。
    (CVE-2022-2795)

  - 傳送大量動態 DNS 更新可能會造成「named」配置大量記憶體，這反過來可導致「named」因為缺少可用記憶體而結束。我們尚未發現任何利用此弱點的案例。程式在檢查存取權限 (ACL) 之前配置記憶體，並在處理來自存取憑證可接受的用戶端的動態更新期間予以保留。拒絕後，會立即釋放配置給不允許傳送更新之用戶端的記憶體。因此，此弱點的影響範圍僅限於可進行動態區域變更的受信任的用戶端。如果動態更新遭到拒絕，記憶體將很快被再次釋放。因此，只有透過傳送大量未接受的動態更新，並且數量與預定達到相同有害結果的查詢溢流相當，才有可能降低「named」的效能或將其停止。BIND 9.11 和更早版本的分支也會受到影響，但這時是透過耗盡內部資源而不是記憶體限制來利用此弱點。這可能會降低效能，但對於大多數伺服器而言應該不是重大問題。
    因此，我們不打算解決 BIND 9.16 之前的 BIND 版本中的這一問題。此問題會影響 BIND 9 9.16.0 至 9.16.36、9.18.0 至 9.18.10、9.19.0 至 9.19.8 以及 9.16.8-S1 至 9.16.36-S1 版。(CVE-2022-3094)

  - `named` 中的 DNS 訊息剖析程式碼包含一個運算複雜度過高的區段。
    它不會對典型的 DNS 流量造成問題，但特製的查詢和回應可能會透過惡意利用此缺陷，造成受影響之 `named` 執行個體上的 CPU 負載過重。此問題會同時影響授權伺服器和遞迴解析器。此問題會影響 BIND 9 9.0.0 至 9.16.45、9.18.0 至 9.18.21、9.19.0 至 9.19.19、9.9.3-S1 至 9.11.37-S1、9.16.8-S1 至 9.16.45-S1 以及 9.18.11-S1 至 9.18.21-S1。(CVE-2023-4408)

  - 遠端攻擊者可利用 DNS 通訊協定 (在 RFC 4033、4034、4035、6840 和相關 RFC 中) 的特定 DNSSEC 方面，透過一或多個 DNSSEC 回應造成拒絕服務 (CPU 消耗)，即 KeyTrap 問題。其中一個問題是，當某個區域具有多個 DNSKEY 和 RRSIG 記錄時，通訊協定規格即表示演算法必須評估 DNSKEY 和 RRSIG 記錄的所有組合。(CVE-2023-50387)

  - 遠端攻擊者可利用 DNS 通訊協定 (略過 RFC 9276 指南時為 RFC 5155) 的最近封裝證明部分，透過隨機子網域攻擊中的 DNSSEC 回應造成拒絕服務 (SHA-1 計算的 CPU 消耗)，即 NSEC3 問題。RFC 5155 規格即表示，演算法必須在某些情況下執行雜湊函式的數千次反覆運算。(CVE-2023-50868)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 8：bind and dhcp (RHSA-2024:2720)

medium Nessus Plugin ID 195112

版本 1.0