AlmaLinux 9.6 [TuxCare] 安全性更新：python3-unbound / unbound / unbound-devel / unbound-dracut / etc 多個弱點 （ALMALINUX9.6：CLSA-2026：1785417704）
medium Nessus Plugin ID 361909
語言:
概要
AlmaLinux 主機缺少一或多個安全性更新。說明
AlmaLinux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2026：1785417704 公告中提及的多個弱點影響。- 爭議說明：此問題不會造成安全風險，因為它（根據原始軟體開發人員 NLnet Labs 的分析）屬於應用程式的預期功能和安全性控制範圍。Red Hat 聲稱 Red Hat 產品存在安全性風險。NLnet Labs 沒有有關此聲明的進一步資訊，建議受影響的 Red Hat 客戶參考可用的 Red Hat 文件或支援管道。原始描述：在 Unbound 的 config_file.c 中的 cfg_mark_ports 函式中發現堆積緩衝區溢位缺陷，這可能導致記憶體損毀。
此問題可能允許具有本機存取權限的攻擊者提供特製的輸入，可能導致應用程式當機或允許執行任意程式碼。這可能會導致系統遭到拒絕服務或未經授權的動作。（CVE-2024-43168）
- NLnet Labs Unbound up to （including version 1.25.0 ） 在 DNSSEC 驗證器中有一個弱點，其中查閱 DS 記錄的負快取的程式碼路徑未考慮 中引入 1.19.1的 NSEC3 雜湊計算限制。這會在攻擊期間導致服務降級。控制 DNSSEC 簽署區域的攻擊者可以利用此漏洞，方法是為子委派簽署具有可接受的高反覆運算次數的 NSEC3 記錄，並查詢易受攻擊的 Unbound。Unbound 將繼續對 NSEC3 記錄執行允許的雜湊計算，並且不會透過 1.19.1 中引入的緩解措施來限制工作。副作用是，在雜湊期間會保留負快取的全域鎖定，封鎖其他需要查閱負快取的執行緒。協調攻擊可能會將其升級為拒絕服務弱點。Unbound 1.25.1 包含一個修補程式，其中的一項修復可將易受攻擊的程式碼路徑與 NSEC3 雜湊計算的現有限制綁定。（CVE-2026-42923）
- 在 NLnet Labs Unbound 1.6.2 （包括 1.25.1） 中，當 Unbound 在驗證器前面配置 'respip' 模組以及 'response-ip' 重新導向規則或具有 RPZ-IP 觸發器的 RPZ 檔案時，重寫處理常式不會檢查上游答案的安全狀態，而是可以重寫虛假的 A/AAAA 答案以指向操作員配置的 IP。如果驗證器在 A 記錄屬於「response-ip」/RPZ 配置的答案上發現過期或無效的 RRSIG，則答案仍會被重寫，並賦予硬編碼安全等級 INSECURE。這會導致用戶端收到由操作員設定的 IP 重寫的 INSECURE NOERROR 回覆。惡意執行者可以欺騙屬於操作員設定的子網路重寫內的虛假 A/AAAA 答案，藉此利用可能的毒害。然後，此類受 DNSSEC 保護的答案會不安全地重新導向至操作員設定的目標。（CVE-2026-50243）
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
根據 TuxCare 公告 ALMALINUX9.6：CLSA-2026：1785417704 中的指引更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 361909
檔案名稱: tuxcare_alma_linux_9.6_CLSA-2026-1785417704.nasl
版本: 1.1
類型: Local
已發布: 2026/10/1
已更新: 2026/10/1
支援的感應器: Continuous Assessment, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Low
分數: 2.8
百分位數: 22.29
Vendor
Vendor Severity: Moderate
CVSS v2
風險因素: Low
基本分數: 2.6
時間性分數: 1.9
媒介: CVSS2#AV:N/AC:H/Au:N/C:N/I:P/A:N
CVSS 評分資料來源: CVE-2026-50243
CVSS v3
風險因素: Low
基本分數: 3.7
時間性分數: 3.2
媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
風險因素: Medium
Base Score: 6.9
Threat Score: 2.7
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
CVSS 評分資料來源: CVE-2026-42923
弱點資訊
必要的 KB 項目: Host/OS/extended-third-party, Host/local_checks_enabled, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list, Host/cpu
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2026/7/30
弱點發布日期: 2024/8/8
參考資訊
CVE: CVE-2024-43168, CVE-2026-42923, CVE-2026-50243
CLSA: 2026:1785417704