遠端 Debian 13 主機已安裝的套件受到 dsa-6395 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6395-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 7 月 22 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：bind9 CVE ID： CVE-2026-10723 CVE-2026-10822 CVE-2026-11331 CVE-2026-11605 CVE-2026-11622 CVE-2026-11721 CVE-2026-12617 CVE-2026-13204 CVE-2026-13321

    在 DNS 伺服器實作 BIND 中發現多個弱點，可能導致繞過 DNSSEC 驗證、繞過 RPZ 原則、快取中毒或拒絕服務。

    對於穩定版 （trixie），這些問題已在 .20.26-1~deb13u1 版 1:9中修正。

    建議您升級 bind9 套件。

    如需有關 bind9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/bind9

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS 主機上安裝的多個套件受到 USN-8929-1 公告中提及的多個弱點影響。

    Zuyao Xu 和 xiang Li 發現 Bind 未正確處理某些格式錯誤的 DNSKEY 記錄。遠端攻擊者可能利用此問題造成 Bind 消耗資源，進而導致拒絕服務。此問題只會影響 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 18.04 LTS。
    (CVE-2025-8677)

    Yuxiao Wu、Yunyi Zhang、Baojun Liu 和 Haixin Duan 發現 Bind 未正確接受來自回答的特定記錄。遠端攻擊者可能會利用此問題執行快取毒害攻擊。
    這個問題只會影響 Ubuntu 18.04 LTS。(CVE-2025-40778)

    Samy Medjahed 發現，Bind 未能正確處理不安全的委派驗證。遠端攻擊者可能會利用此問題造成過多的 NSEC3 反覆運算、耗用 CPU 資源，並導致拒絕服務。此問題只影響 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2026-1519)

    據發現，Bind 錯誤地接受了簽署者名稱不符合所屬區域的 NSEC3 記錄。遠端攻擊者可能會利用此問題來執行 NSEC3 模擬攻擊，繞過 DNSSEC 驗證。此問題只影響 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2026-10723)

    據發現，Bind 使用 PRIVATEDNS 演算法錯誤地處理金鑰記錄。遠端攻擊者可能利用此問題造成 Bind 損毀，進而導致拒絕服務。這個問題只會影響 Ubuntu 20.04 LTS。(CVE-2026-10822)

    據發現，Bind 未正確處理回應原則區域中的萬用字元 CNAME 擴充。遠端攻擊者可能會利用此問題來繞過已設定的 RPZ 原則。這個問題只會影響 Ubuntu 20.04 LTS。(CVE-2026-11331)

    據發現，Bind 錯誤地追蹤了 DNS 快取中的記憶體使用情況。遠端攻擊者可能會利用此問題，導致 Bind 使用超出設定限制的記憶體，進而造成拒絕服務。這個問題只會影響 Ubuntu 20.04 LTS。(CVE-2026-11622)

    據發現，Bind 錯誤地處理了具有標籤計數差異和 RRSIG 驗證的已簽名萬用字元記錄。遠端攻擊者可能會利用此問題來執行快取中毒攻擊。此問題只會影響 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。
    (CVE-2026-11721)

    據發現，當網域同時被 NSEC 和 NSEC3 記錄涵蓋且只有一種類型具有 RRSIG 時，Bind 會錯誤地處理 DNSSEC 驗證。遠端攻擊者可能利用此問題造成 Bind 損毀，進而導致拒絕服務。此問題只影響 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2026-13204)

    據發現，Bind 在 DNSSEC 驗證期間錯誤地驗證了區域外 NSEC 下一個所有者名稱。遠端攻擊者可能會利用此問題繞過 DNSSEC 驗證。此問題只影響 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2026-13321)

    據發現，在驗證多重訊息傳輸上的 TSIG 簽章之前，Bind 錯誤地提供區域傳輸資料。遠端攻擊者可能會利用此問題，將未經授權的區域內容傳送至次要伺服器。（CVE-2026-19033）

    據發現，Bind 錯誤地處理了快取的 DNSSEC 證明的生命週期，導致釋放後使用。遠端攻擊者可能利用此問題造成 Bind 損毀，進而導致拒絕服務。此問題只影響 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 26.04 LTS。(CVE-2026-19662)

    據發現，當設定為使用 DNS64時，Bind 會錯誤地處理某些格式錯誤的答案。遠端攻擊者可能利用此問題造成 Bind 損毀，進而導致拒絕服務。
    (CVE-2026-19666)

    據發現，Bind 在將過大的否定答案儲存在負快取中時，錯誤地處理了它們。遠端攻擊者可能利用此問題造成 Bind 損毀，進而導致拒絕服務。此問題只影響 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 26.04 LTS。(CVE-2026-19667)

    據發現，Bind 在驗證期間錯誤地處理了大量某些無效的 DNSSEC 記錄。遠端攻擊者可能利用此漏洞，導致 Bind 消耗過多資源，進而引發拒絕服務。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-19668)

    據發現，Bind 錯誤地接受不適用的 NSEC 記錄作為不存在萬用字元的證據。遠端攻擊者可能會利用此問題來偽造 NXDOMAIN 回應，以掩蓋萬用字元記錄的存在。（CVE-2026-19941）

    據發現，Bind 錯誤地處理了應該只出現一次的記錄的重複副本，例如 SOA、CNAME 或 DNAME 記錄。遠端攻擊者可能會利用此問題導致 Bind 使用過多記憶體，進而造成拒絕服務。（CVE-2026-75029）

    據發現，當組態不包含全域選項區塊時，Bind 會以錯誤的方式處理 TKEY 查詢。遠端攻擊者可能利用此問題造成 Bind 損毀，進而導致拒絕服務。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-76163)

    據發現，Bind 錯誤地接受來自不相關同級區域的 NSEC3 記錄，作為不安全委派的證明。遠端攻擊者可能會利用此問題繞過 DNSSEC 驗證並插入偽造的未簽名答案。（CVE-2026-77119）

    據發現，當連線過早關閉時，Bind 會以錯誤的方式處理包含無效 SIG（0） 記錄的 DNS-over-HTTPS 要求。遠端攻擊者可能利用此問題造成 Bind 損毀，進而導致拒絕服務。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-77692)

    據發現，Bind 錯誤地將區域原點上方的 NS 或 DNAME 記錄視為區域切割。攻擊者可能會利用此問題導致 Bind 提供或快取區域外資料，進而造成快取中毒。（CVE-2026-78301）

    據發現，Bind 錯誤地處理具有相同所有者名稱的 NSEC3 和 NSEC 證明的萬用字元答案。遠端攻擊者可能利用此問題造成 Bind 損毀，進而導致拒絕服務。(CVE-2026-80274)

    據發現，Bind 在處理 SVCB 和 HTTPS AliasMode 記錄時，錯誤地釋放了資源。遠端攻擊者可能會利用此問題導致 Bind 耗盡資源，進而造成拒絕服務。此問題只影響 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 26.04 LTS。(CVE-2026-81563)

    據發現，Bind 錯誤地限制了快取的 SVCB 和 HTTPS AliasMode 記錄的額外處理。遠端攻擊者可能會利用此問題導致 Bind 使用過多的 CPU 資源，進而造成拒絕服務。此問題只影響 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 26.04 LTS。(CVE-2026-81736)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它會受到 ALAS2023-2026-2040 公告中所提及的多個弱點影響。

    BIND 可能會接受不正確的子區域 NSEC3 記錄為有效，這可能允許攻擊者偽造經過驗證的 NXDOMAIN 回應。此問題影響 BIND 9 版本 9.18.09.18.50（至 、 9.20.09.20.24至 、 至 9.11.3-S1 9.21.09.21.23至 9.18.50-S1 和 9.20.9-S1 至 9.20.24-S1）。
    (CVE-2026-10723)

    如果 BIND 在 DNS 記錄中遇到特定的無效資料結構，它會接受無效的資料，並可能隨後中止並結束。

    BIND 首先需要儲存金鑰 （KEY、DNSKEY 等） 的 DNS 記錄。該金鑰必須指定 PRIVATEDNS 演算法 （253） ，並且在演算法識別碼中，不正確地提供比實際識別碼資料更長的長度。系統會儲存無效的識別碼。如果 BIND 稍後需要將該記錄轉譯為文字，則會在處理期間使用無效長度，導致一致性檢查失敗。此問題會影響 BIND 9 版本 9.18.09.18.50（至 、 至 9.20.249.20.0 、 至 、 9.21.09.21.239.18.11-S1 至 9.18.50-S1 和 9.20.9-S1 至 9.20.24-S1）。（CVE-2026-10822）

    知道 （或猜測） 解析器使用帶有萬用字元 CNAME 原則的 RPZ 的攻擊者可以製作足夠長的查詢名稱，以便在 RPZ 處理期間觸發 NAMETOOLONG 錯誤情況。這未正確處理，並可能導致違反 RPZ 規則。這也可能導致 BIND 9 軟體意外結束。此問題影響 BIND 9 版本 9.16.09.18.50（至 、 至 9.20.249.20.0 、 至 、 9.21.09.21.239.16.8-S1 至 9.18.50-S1 和 9.20.9-S1 至 9.20.24-S1）。（CVE-2026-11331）

    遭受針對 DNSSEC 簽署區域的隨機子網域攻擊的 DNSSEC 驗證剖析器可能會遭受記憶體用量失控的問題。攻擊者傳送查詢的速度必須比解析器執行驗證的速度還要快。增加的記憶體使用量可能超出「max-cache-size」參數中設定的限制數量級。此問題影響 BIND 9 版本 9.11.09.18.50（至 、 9.20.09.20.24至 、 至 9.11.3-S1 9.21.09.21.23至 9.18.50-S1 和 9.20.9-S1 至 9.20.24-S1）。
    (CVE-2026-11622)

    攻擊者的區域可能會使用標籤數量少於包含 RRSIG 的區域的 RRSIG 來回應查詢。這會導致 'named' 為短於攻擊者區域的區域產生萬用字元名稱，進而導致快取中毒。若要使此攻擊產生任何效果，受到攻擊的解析器必須已設定「synth-from-dnssec yes;」（這是預設值）。此問題影響 BIND 9 版本 9.11.09.18.50（至 、 9.20.09.20.24至 、 至 9.11.3-S1 9.21.09.21.23至 9.18.50-S1 和 9.20.9-S1 至 9.20.24-S1）。（CVE-2026-11721）

    問題是根據回應 CNAME 或 DNAME 及 A 記錄查詢時的排序及/或特定內容，導致程式意外終止。具體而言，如果用戶端向解析器查詢 DNAME 下方的 DNAME 和 A 記錄，而權威伺服器對 A 查詢做出正面回應，但延遲 DNAME 回應，稍後做出否定回應，則 'named' 可能會意外結束。或者，如果用戶端向解析器查詢相同名稱的 CNAME 及 A 記錄，且授權伺服器正面回應 A 查詢，但延遲 CNAME 回應，稍後再以自我參照 CNAME 回應，則可能會發生相同的失敗。此問題影響 BIND 9 版本 9.18.09.18.50（至 9.18.11-S1 9.20.09.20.24至 9.18.50-S1） 以及 9.20.9-S1 至 9.20.24-S1 版本。（CVE-2026-12617）

    如果父項的 NSEC 和 NSEC3 記錄都涵蓋可證明的不安全網域，並且只有其中一種類型存在 RRSIG，則 BIND 可能會在驗證此證明時意外退出並出現判斷提示。此問題影響 BIND 9 版本 9.11.09.18.50（至 、 9.20.09.20.24至 、 至 9.11.3-S1 9.21.09.21.23至 9.18.50-S1 和 9.20.9-S1 至 9.20.24-S1）。（CVE-2026-13204）

    BIND 解析器接受有效簽署的 NSEC 記錄，其中「下一個網域名稱」欄位指向簽署者區域之外。此問題影響 BIND 9 版本 9.11.09.18.50（至 、 9.20.09.20.24至 、 至 9.11.3-S1 9.21.09.21.23至 9.18.50-S1 和 9.20.9-S1 至 9.20.24-S1）。（CVE-2026-13321）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 22.04 LTS / 24.04 LTS / 26.04 LTS 主機上安裝的套件受到 USN-8648-1 公告中所提及的多個弱點影響。

    據發現，Bind 錯誤地接受了簽署者名稱不符合所屬區域的 NSEC3 記錄。遠端攻擊者可能會利用此問題來執行 NSEC3 模擬攻擊，繞過 DNSSEC 驗證。（CVE-2026-10723）

    據發現，Bind 使用 PRIVATEDNS 演算法錯誤地處理金鑰記錄。遠端攻擊者可能利用此問題造成 Bind 損毀，進而導致拒絕服務。
    (CVE-2026-10822)

    據發現，Bind 未正確處理回應原則區域中的萬用字元 CNAME 擴充。遠端攻擊者可能會利用此問題來繞過已設定的 RPZ 原則。（CVE-2026-11331）

    據發現，Bind 對 DNSSEC 簽署的記錄執行了不必要的驗證。遠端攻擊者可能利用此漏洞，導致 Bind 消耗過多資源，進而引發拒絕服務。
    這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-11605)

    據發現，Bind 錯誤地追蹤了 DNS 快取中的記憶體使用情況。遠端攻擊者可能會利用此問題，導致 Bind 使用超出設定限制的記憶體，進而造成拒絕服務。（CVE-2026-11622）

    據發現，Bind 錯誤地處理了具有標籤計數差異和 RRSIG 驗證的已簽名萬用字元記錄。遠端攻擊者可能會利用此問題來執行快取中毒攻擊。
    (CVE-2026-11721)

    據發現，Bind 錯誤地處理了解析器中的特定 CNAME 和 DNAME 記錄順序。
    遠端攻擊者可能利用此問題造成 Bind 損毀，進而導致拒絕服務。
    (CVE-2026-12617)

    據發現，Bind 在 DNSSEC 驗證期間錯誤地驗證了區域外 NSEC 下一個所有者名稱。遠端攻擊者可能會利用此問題繞過 DNSSEC 驗證。（CVE-2026-13321）

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 F5 Networks BIG-IP 版本為 17.1.3.6/17.5.1.10/21.1.0.3 之前的版本。因此，它會受到 K000163233 公告中提及的一個弱點影響。

    如果 BIND 在 DNS 記錄中遇到特定的無效資料結構，它會接受無效的資料，並可能隨後中止並結束。BIND 首先需要儲存金鑰 （KEY、DNSKEY 等） 的 DNS 記錄。該金鑰必須指定 PRIVATEDNS 演算法 （253） ，並且在演算法識別碼中，不正確地提供比實際識別碼資料更長的長度。系統會儲存無效的識別碼。如果 BIND 稍後需要將該記錄轉譯為文字，則會在處理期間使用無效長度，導致一致性檢查失敗。此問題影響 BIND 9 版本 9.18.09.18.50（至 、 至 9.20.09.20.24、 至 、 9.21.09.21.239.18.11-S1 至 9.18.50-S1 和 9.20.9-S1 至 9.20.24-S1.（CVE-2026-10822）

Tenable 已直接從 F5 Networks BIG-IP 安全公告中擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 如果 BIND 在 DNS 記錄中發現特定無效資料結構，它會接受無效資料，之後可能會中止並結束。BIND 首先需要儲存金鑰 （KEY、DNSKEY 等） 的 DNS 記錄。該金鑰必須指定 PRIVATEDNS 演算法 （253） ，並且在演算法識別碼中，不正確地提供比實際識別碼資料更長的長度。系統會儲存無效的識別碼。如果 BIND 稍後需要將該記錄轉譯為文字，則會在處理期間使用無效長度，導致一致性檢查失敗。此問題會影響 BIND 9 版本 9.18.09.18.50（至 、 至 9.20.249.20.0 、 至 、 9.21.09.21.239.18.11-S1 至 9.18.50-S1 和 9.20.9-S1 至 9.20.24-S1）。
    (CVE-2026-10822)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
329075	Debian dsa-6395：bind9 - 安全性更新	Nessus	Debian Local Security Checks	2026/7/22	2026/7/27	high
367203	Ubuntu 14.04 LTS / LTS / 18.0416.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / LTS ： 26.04 綁定漏洞（USN-8929-1）	Nessus	Ubuntu Local Security Checks	2026/10/19	2026/10/19	high
332053	Amazon Linux 2023：bind、bind-chroot、bind-devel (ALAS2023-2026-2040)	Nessus	Amazon Linux Local Security Checks	2026/8/4	2026/8/4	high
365383	Ubuntu 22.04 LTS/24.04 LTS/26.04 LTS：Bind 弱點 (USN-8648-1)	Nessus	Ubuntu Local Security Checks	2026/10/13	2026/10/13	high
343850	F5 Networks BIG-IP：BIND 弱點 (K000163233)	Nessus	F5 Networks Local Security Checks	2026/9/8	2026/10/19	medium
329426	Linux Distros 未修補弱點：CVE-2026-10822	Nessus	Misc.	2026/7/25	2026/10/21	medium

偵測

搜尋 Plugin

high

high

high

high

medium

medium