能與授權 DNS 伺服器之間相互收發訊息以及得知有效 TSIG 金鑰名稱的攻擊者，可能會透過特製的要求封包來規避 AXFR 要求的 TSIG 驗證。無其他 ACL 保護機制、完全仰賴 TSIG 金鑰保護作用的伺服器可能會受到操控而做出下列動作：將某個區域的 AXFR 提供給未經授權的接收者或接受偽造的 NOTIFY 封包。影響版本：BIND 9.4.0->9.8.8、9.9.0->9.9.10-P1、9.10.0->9.10.5-P1、9.11.0->9.11.1-P1、9.9.3-S1->9.9.10-S2、9.10.5-S1->9.10.5-S2。(CVE-2017-3142) 影響 BIG-IP：可能會允許攻擊者在利用弱點時，檢視某個區域的全部內容。除非 BIG-IP 系統使用 allow-transfer 陳述式且 BIND 設定使用 TSIG 驗證，否則不容易遭受此攻擊。此設定組合並非預設設定。F5 iWorkflow、BIG-IQ 和 Enterprise Manager 不受此問題影響。雖然 BIG-IQ 和 Enterprise Manager 軟體內含容易遭到攻擊的程式碼，但 BIG-IQ 和 Enterprise Manager 系統不會以在預設、標準或推薦設定中暴露弱點的方式使用易受攻擊的程式碼。

安全性修正：- 在 BIND 針對動態更新處理 TSIG 驗證的方式中，發現一個缺陷。可與授權 BIND 伺服器通訊的遠端攻擊者可利用此缺陷，藉由偽造適用於動態更新要求的有效 TSIG 或 SIG(0) 簽章，來操控某個區域的內容。(CVE-2017-3143) - 在 BIND 針對 AXFR 要求處理 TSIG 驗證的方式中，發現一個缺陷。可與授權 BIND 伺服器通訊的遠端攻擊者可利用此缺陷，藉由傳送特製的要求通訊端，來檢視某區域的完整內容。(CVE-2017-3142) 錯誤修正：- ICANN 預計在 2017 年 10 月間執行 Root Zone DNSSEC 金鑰簽署金鑰 (KSK) 變換。透過新增新的 root zone KSK 保有最新的 KSK 至關重要，此舉可確保驗證 DNS 解析器可在變換作業完成後持續運作。

安全性修正：在 BIND 針對動態更新處理 TSIG 驗證的方式中，發現一個缺陷。可與授權 BIND 伺服器通訊的遠端攻擊者可利用此缺陷，藉由偽造適用於動態更新要求的有效 TSIG 或 SIG(0) 簽名，來操控某個區域的內容。在 BIND 針對 AXFR 要求處理 TSIG 驗證的方式中，發現一個缺陷。可與授權 BIND 伺服器通訊的遠端攻擊者可利用此缺陷，藉由傳送特製的要求通訊端，來檢視某區域的完整內容。(CVE-2017-3142、CVE-2017-3143)

遠端 OracleVM 系統缺少可解決重大安全性更新的必要修補程式：請參閱 Oracle VM 安全性公告 OVMSA-2020-0021 瞭解詳細資料。

自己報告されたバージョンによると、リモートネームサーバーで実行されているISC BIND 9のインスタンスは、9.9.10-P2または9.9.10-S3より前の9.9.x、9.10.5-P2または9.10.5-S3より前の9.10.x、または9.11.1-P2より前の9.11.xです。したがって、以下の複数の脆弱性による影響を受けます。- 受信したメッセージを処理するときのトランザクション署名（TSIG）認証の実装に欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたリクエストパケットを介して、AXFRリクエストのTSIG認証を回避できるようにする可能性があります。この問題を悪用するには、攻撃者が権限のあるDNSサーバーとメッセージを送受信でき、有効なTSIGキー名を知っている必要があります。（CVE-2017-3142）- メッセージを処理するときのトランザクション署名（TSIG）認証の実装に欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、BINDを操作して、不正な動的更新を受け入れる可能性があります。この問題を悪用するには、攻撃者が権限のあるDNSサーバーとメッセージを送受信でき、標的となるゾーンやサービスの有効なTSIGキー名を知っている必要があります。（CVE-2017-3143）Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのOracleVMシステムには、重大なセキュリティ更新に対処するために必要なパッチがありません：修正（CVE-2017-3142、CVE-2017-3143）- ルートサーバおよびトラストアンカーを更新（#1458234）

権限DNSサーバーとメッセージを送受信でき、有効なTSIGキー名を知っている攻撃者は、巧妙に作成されたリクエストパケットを介して、AXFRリクエストのTSIG認証を回避する可能性があります。保護をTSIGキーのみに依存し、他のACL保護を持たないサーバーが、認証されていない受信者にゾーンのAXFRを提供したり、偽のNOTIFYパケットを受け入れたりするように操作される可能性がありました。BIND 9.4.0-> 9.8.8、9.9.0-> 9.9.10-P1、9.10.0-> 9.10.5-P1、9.11.0-> 9.11.1-P1、9.9.3-S1- > 9.9.10-S2、9.10.5-S1-> 9.10.5-S2に影響します。（CVE-2017-3142）影響：BIG-IP 脆弱性が悪用されると、攻撃者がゾーンのコンテンツ全体を表示する許可を受ける可能性があります。BIG-IPシステムが脆弱であるとみなされるには、BINDで構成されたTSIG認証を使用したallow-transferステートメントを持つ必要があります。この構成の組み合わせは、デフォルトの構成ではありません。F5 iWorkflow、BIG-IQ、Enterprise Manager 影響はありません。BIG-IQとEnterprise Managerソフトウェアには脆弱なコードが含まれますが、BIG-IQとEnterprise Managerのシステムはデフォルト、標準、または推奨の構成では、脆弱性がさらされるような方法で脆弱なコードを使用することはありません。

セキュリティ修正プログラム:

  - BINDが動的更新のTSIG認証を処理する方法に欠陥が見つかりました。権限のあるBINDサーバーと通信できるリモート攻撃者がこの欠陥を利用して、動的更新リクエストの有効なTSIG認証またはSIG(0)認証を偽装することで、ゾーンコンテンツを操作する可能性があります。（CVE-2017-3143）

  - BINDがAXFRリクエストのTSIG認証を処理する方法に欠陥が見つかりました。権限のあるBINDサーバーと通信できるリモート攻撃者がこの欠陥を利用して、特別に構成されたリクエストパケットを送信することで、ゾーンのコンテンツのすべてを閲覧する可能性があります。
    （CVE-2017-3142）

バグ修正プログラム:

  - ICANNは、2017年10月にルートゾーンDNSSEC鍵署名鍵（KSK）のロールオーバーを実行する予定です。
    新しいルートゾーンKSKを追加して最新のKSKを維持することは、ロールオーバー後に引き続き確実にDNSリゾルバの検証が機能し続けるために不可欠です。

bind 用のこの更新は、次の問題を修正します：

  - 権限のあるDNSサーバーとメッセージを送受信できる攻撃者が、AXFRリクエストのTSIG認証を回避できました。保護をTSIGキーのみに依存しているサーバーが、（1）承認されていない受信者にゾーンのAXFRを提供したり、（2）偽のNotifyパケットを受け入たりするように操作される可能性がありましたbsc#1046554。CVE-2017-3142]

  - 権限のあるDNSサーバーとメッセージを送受信でき、標的のゾーンとサービスの有効なTSIGキー名を知っている攻撃者は、BINDを操作して認証されていない動的更新を受け入れる可能性がありました。（bsc#1046555、CVE-2017-3143]）

この更新はSUSEからインポートされました：SLE-12-SP1：更新プロジェクトを更新します。

ISCがサポートするバージョンに更新してください。CVE-2017-3143、CVE-2017-3142、CVE-2017-3140のセキュリティ修正

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

セキュリティ修正プログラム：BINDが動的更新のTSIG認証を処理する方法に欠陥が見つかりました。権限のあるBINDサーバーと通信できるリモート攻撃者がこの欠陥を利用して、動的更新リクエストの有効なTSIG認証またはSIG(0)認証を偽装することで、ゾーンコンテンツを操作する可能性があります。BINDがAXFRリクエストのTSIG認証を処理する方法に欠陥が見つかりました。権限のあるBINDサーバーと通信できるリモート攻撃者がこの欠陥を利用して、特別に構成されたリクエストパケットを送信することで、ゾーンのコンテンツのすべてを閲覧する可能性があります。（CVE-2017-3142、CVE-2017-3143）

リモートOracleVMシステムに、重大なセキュリティ更新に対処するために必要なパッチが、欠落しています：詳細については、Oracle VMセキュリティアドバイザリ OVMSA-2020-0021 を参照してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
105442	F5 網路 BIG-IP：BIND 弱點 (K59448931)	Nessus	F5 Networks Local Security Checks	2017/12/26	2019/3/6	low
101256	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 bind	Nessus	Scientific Linux Local Security Checks	2017/7/6	2021/1/14	medium
101933	Amazon Linux AMI：bind (ALAS-2017-858)	Nessus	Amazon Linux Local Security Checks	2017/7/25	2019/2/12	medium
137170	OracleVM 3.3 / 3.4：bind (OVMSA-2020-0021)	Nessus	OracleVM Local Security Checks	2020/6/5	2024/3/7	medium
101232	ISC BIND 9 < 9.9.10-P2/9.9.10-S3/9.10.5-P2/9.10.5-S3/9.11.1-P2の複数の脆弱性	Nessus	DNS	2017/7/5	2025/2/18	high
101252	OracleVM 3.3/3.4：bind（OVMSA-2017-0122）	Nessus	OracleVM Local Security Checks	2017/7/6	2021/1/4	medium
105442	F5 Networks BIG-IP：BINDの脆弱性（K59448931）	Nessus	F5 Networks Local Security Checks	2017/12/26	2019/3/6	low
101256	Scientific Linux セキュリティ更新: SL6.x i386/x86_64のbind（20170705）	Nessus	Scientific Linux Local Security Checks	2017/7/6	2021/1/14	medium
101280	openSUSEセキュリティ更新プログラム：bind（openSUSE-2017-783）	Nessus	SuSE Local Security Checks	2017/7/7	2021/1/19	medium
101494	Fedora 24：32: bind / bind-dyndb-ldap / dnsperf（2017-001f135337）	Nessus	Fedora Local Security Checks	2017/7/13	2021/1/11	medium
101933	Amazon Linux AMI：bind（ALAS-2017-858）	Nessus	Amazon Linux Local Security Checks	2017/7/25	2019/2/12	medium
137170	OracleVM 3.3 / 3.4：bind（OVMSA-2020-0021）	Nessus	OracleVM Local Security Checks	2020/6/5	2024/3/7	medium

偵測

搜尋 Plugin

low

medium

medium

medium

high

medium

low

medium

medium

medium

medium

medium