ISC 報告：

設計 DNS 通訊協定時，是假設可以推測某指定區域的主要和次要伺服器之運算子間一定數量的信任。但是在目前的實務做法中，部分組織在某些狀況下，必須接受來自非完全信任的來源之區域資料 (例如次要名稱伺服器的提供者)。可將資料供給至區域 (例如藉由 AXFR、IXFR 或 Dynamic DNS 更新) 的使用者，可透過刻意或意外耗盡伺服器的記憶體，造成接受資料的伺服器超載。

根據安裝的 bind 套件版本，遠端主機上的 EulerOS 安裝會受到下列弱點影響：- 為了讓使用者能更細緻的掌控使用 Dynamic DNS (DDNS) 來更新某個區域內的記錄的能力，BIND 9 提供一種名為更新原則的功能。使用者可設定多種規則，來限制可由用戶端執行的更新類型 (視傳送更新要求時所使用的金鑰而定)。可惜的是，一開始並未記錄某些規則類型，將這些規則的文件記錄新增到 Administrator Reference Manual (ARM) 的第 #3112 號變更項目時，此時新增到 ARM 的語言以錯誤的方式描述兩種規則類型 (krb5-subdomain 和 ms-subdomain) 的行為。此錯誤的文件記錄會讓操作員誤以為他們剛才所設定的原則比實際的原則有更多的限制。這會影響 BIND 9.11.5 和 BIND 9.12.3 之前的 BIND 版本。(CVE-2018-5741) - 功能「managed-keys」可讓 BIND 解析器自動維護信賴起點所使用的金鑰，運算子會將這些金鑰設定為用於 DNSSEC 驗證。由於 managed-keys 功能出錯，如果在金鑰變換期間，信賴起點的金鑰被取代為使用不受支援演算法的金鑰，則使用 managed-keys 的 BIND 伺服器可能會因為宣告失敗而結束。受影響的版本：BIND 9.9.0 -> 9.10.8-P1、9.11.0 -> 9.11.5-P1、9.12.0 -> 9.12.3-P1，以及 BIND 9 支援的預覽版的 9.9.3-S1 -> 9.11.5-S3 版。9.13 開發分支的 9.13.0 -> 9.13.6 版也會受到影響。尚未評估 BIND 9.9.0 之前的版本是否容易受到 CVE-2018-5745 弱點影響。(CVE-2018-5745) - 如果區域為受影響的可寫入版本，區域傳輸控制可能無法正確地套用到動態載入區域 (DLZ)，版本為：BIND 9.9.0 -> 9.10.8-P1、9.11.0 -> 9.11.5-P2、9.12.0 -> 9.12.3-P2，以及 BIND 9 支援的預覽版的 9.9.3-S1 -> 9.11.5-S3 版。9.13 開發分支的 9.13.0 -> 9.13.6 版也會受到影響。尚未評估 BIND 9.9.0 之前的版本是否容易受到 CVE-2019-6465 弱點影響。(CVE-2019-6465) - 9.9.9-P1 及之前、9.10.x 到 9.10.4-P1，以及 9.11.x 到 9.11.0b1 的 ISC BIND 可讓主要 DNS 伺服器透過大型 AXFR 回應造成拒絕服務 (次要 DNS 伺服器損毀)，而且可能會讓 IXFR 伺服器透過大型 IXFR 回應造成拒絕服務 (IXFR 用戶端損毀)，以及讓經驗證的遠端使用者透過大型 UPDATE 訊息造成拒絕服務 (主要 DNS 伺服器損毀)。(CVE-2016-6170) 請注意，Tenable Network Security 已直接從 EulerOS 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其自我報告的版本號碼，遠端主機上執行的 ISC BIND 安裝受到一個記憶體耗盡弱點影響。當區域資料大小未設定任何限制時，如果伺服器接受其他來源的區域資料，伺服器可能會受弱點影響。請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Ubuntu 16.04 ESM 主機上安裝的多個套件受到 USN-5747-1 公告中提及的多個弱點影響。

  - 在 ISC BIND 9.9.9-P2 之前的 9.x 版、9.10.4-P2 之前的 9.10.x 版和 9.11.0b2 之前的 9.11.x 版中，若啟用 lwresd 或 named lwres 選項，遠端攻擊者可透過使用輕量型解析器通訊協定的長要求造成拒絕服務 (程序當機)。(CVE-2016-2775)

  - BIND 9.9.9-P1 及其之前版本、9.10.x 至 9.10.4-P1、9.11.x 至 9.11.0b1 版允許主要 DNS 伺服器透過大型 AXFR 回應造成拒絕服務 (次要 DNS 伺服器損毀)，而且可能允許 IXFR 伺服器透過大型 IXFR 回應造成拒絕服務 (IXFR 用戶端損毀)，以及讓經驗證的遠端使用者透過大型 UPDATE 訊息造成拒絕服務 (主要 DNS 伺服器損毀)。(CVE-2016-6170)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機受到 GLSA-201610-07 中所述的弱點影響 (BIND：多個弱點)

    在 BIND 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可透過多個向量造成拒絕服務情形。
  因應措施：

    目前尚無已知的因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
92832	FreeBSD：BIND、Knot、NSD、PowerDNS -- 透過過大的區域傳輸發生的拒絕服務 (7d08e608-5e95-11e6-b334-002590263bf5)	Nessus	FreeBSD Local Security Checks	2016/8/10	2021/1/4	high
131607	EulerOS 2.0 SP2：bind (EulerOS-SA-2019-2453)	Nessus	Huawei Local Security Checks	2019/12/4	2024/4/8	medium
106679	ISC BIND 區域資料拒絕服務	Nessus	DNS	2018/2/8	2018/6/29	medium
168280	Ubuntu 16.04 ESM：Bind 弱點 (USN-5747-1)	Nessus	Ubuntu Local Security Checks	2022/11/29	2023/7/10	medium
93994	GLSA-201610-07：BIND：多個弱點	Nessus	Gentoo Local Security Checks	2016/10/12	2021/1/11	high

偵測

搜尋 Plugin

high

medium

medium

medium

high