运行 CORE 5.04/MAIN 5.04 版本的远程 NewStart CGSL 主机上安装的 bind 程序包受到多个漏洞的影响：

  - managed-keys 功能可让 BIND 解析器自动维护信任锚使用的密钥，这些信任锚由操作员配置为用于 DNSSEC 验证。由于 managed-keys 功能出错，如果在密钥滚动更新期间，信任锚的密钥被取代为使用不受支持算法的密钥，则使用 managed-keys 的 BIND 服务器可能会因为断言失败而结束。
    受影响的版本：BIND 9.9.0 -> 9.10.8-P1、9.11.0 -> 9.11.5-P1、9.12.0 -> 9.12.3-P1，以及 BIND 9 支持的预览版的 9.9.3-S1 -> 9.11.5-S3 版。9.13 开发分支的 9.13.0 -> 9.13.6 版也会受到影响。尚未针对 CVE-2018-5745 的漏洞评估 BIND 9.9.0 之前的版本。(CVE-2018-5745)

  - 如果区域可写入，则区域传输控制可能无法正确地应用于动态加载区域 (DLZ)。受影响的版本：BIND 9.9.0 -> 9.10.8-P1、9.11.0 -> 9.11.5-P2、9.12.0 -> 9.12.3-P2，以及 BIND 9 支持的预览版的 9.9.3-S1 -> 9.11.5-S3 版。9.13 开发分支的 9.13.0 -> 9.13.6 版也会受到影响。尚未针对 CVE-2019-6465 的漏洞评估 BIND 9.9.0 之前的版本。(CVE-2019-6465)

  - 管道启用后，TCP 连接上的每个传入查询都需要通过 UDP 或通过未启用管道的 TCP，向接收到的查询进行类似的资源分配。客户端使用 TCP 管道式连接与服务器进行连接，其消耗的资源可能比分配给服务器去处理的资源更多。当具有大量管道查询的 TCP 连接关闭时，释放这些多种资源的服务器上的负载会导致服务器失去响应，即使是权威应答或从缓存应答的查询也是如此。（此问题最有可能被视为间歇性服务器问题）。
    (CVE-2019-6477)

  - 如果攻击者知道（或成功猜测）服务器使用的 TSIG 密钥名称，则攻击者有可能使用特别构建的消息使 BIND 服务器达到不一致的状态。由于 BIND 默认情况下会在其配置未使用的本地服务器上配置本地会话密钥，因此几乎当前所有的 BIND 服务器都容易受到攻击。在 2018 年 3 月及之后发布的 BIND 版本中，tsig.c 中的断言检查可检测到这种不一致的状态并强制退出。在引入检查之前，服务器将继续以不一致的状态运行，从而可能产生危害。(CVE-2020-8617)

  - 恶意行为者故意利用处理引荐报文时对查询数量缺乏有效限制的缺陷，通过使用特别构建的引荐报文，可以导致递归服务器在尝试处理引荐报文时发出大量的查询报文。这样至少有两项潜在影响：由于发送了大量的额外查询报文，递归服务器的性能可能降低，攻击者可利用此行为来让递归服务器成为反射器来发起反射放大攻击。(CVE-2020-8616)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

新 [镜像版本](https://downloads.isc.org/isc/bind9/9.11.13/RELEASE-NOTES-bin d-9.11.13.html) 修复了最新的 CVE。包含 rndc 状态中的 TCP 高水位线。请注意，Tenable Network Security 已直接从 Fedora 更新系统网站提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

管道启用时，TCP 连接上的每个传入查询都需要通过 UDP 或通过未启用管道的 TCP，向收到的查询进行类似的资源分配。客户端使用 TCP 管道式连接与服务器进行连接，其消耗的资源可能比分配给服务器去处理的资源更多。当具有大量管道查询的 TCP 连接关闭时，释放这些多种资源的服务器上的负载会导致服务器失去响应，即使是权威应答或从缓存应答的查询也是如此。（此问题最有可能被视为间歇性服务器问题）。(CVE-2019-6477)

影响

攻击者或可使用 TCP 管道式查询增加系统上的负载，从而导致系统失去响应。

运行 CORE 5.05/MAIN 5.05 版本的远程 NewStart CGSL 主机上安装的 bind 程序包受到多个漏洞的影响：

  - managed-keys 功能可让 BIND 解析器自动维护信任锚使用的密钥，这些信任锚由操作员配置为用于 DNSSEC 验证。由于 managed-keys 功能出错，如果在密钥滚动更新期间，信任锚的密钥被取代为使用不受支持算法的密钥，则使用 managed-keys 的 BIND 服务器可能会因为断言失败而结束。
    受影响的版本：BIND 9.9.0 -> 9.10.8-P1、9.11.0 -> 9.11.5-P1、9.12.0 -> 9.12.3-P1，以及 BIND 9 支持的预览版的 9.9.3-S1 -> 9.11.5-S3 版。9.13 开发分支的 9.13.0 -> 9.13.6 版也会受到影响。尚未针对 CVE-2018-5745 的漏洞评估 BIND 9.9.0 之前的版本。(CVE-2018-5745)

  - 如果区域可写入，则区域传输控制可能无法正确地应用于动态加载区域 (DLZ)。受影响的版本：BIND 9.9.0 -> 9.10.8-P1、9.11.0 -> 9.11.5-P2、9.12.0 -> 9.12.3-P2，以及 BIND 9 支持的预览版的 9.9.3-S1 -> 9.11.5-S3 版。9.13 开发分支的 9.13.0 -> 9.13.6 版也会受到影响。尚未针对 CVE-2019-6465 的漏洞评估 BIND 9.9.0 之前的版本。(CVE-2019-6465)

  - 管道启用后，TCP 连接上的每个传入查询都需要通过 UDP 或通过未启用管道的 TCP，向接收到的查询进行类似的资源分配。客户端使用 TCP 管道式连接与服务器进行连接，其消耗的资源可能比分配给服务器去处理的资源更多。当具有大量管道查询的 TCP 连接关闭时，释放这些多种资源的服务器上的负载会导致服务器失去响应，即使是权威应答或从缓存应答的查询也是如此。（此问题最有可能被视为间歇性服务器问题）。
    (CVE-2019-6477)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

远程 Oracle Linux 7 主机上安装的多个程序包受到 ELSA-2020-1061 公告中提及的多个漏洞影响。

  - 如果区域可写入，则区域传输控制可能无法正确地应用于动态加载区域 (DLZ)。受影响的版本：BIND 9.9.0 -> 9.10.8-P1、9.11.0 -> 9.11.5-P2、9.12.0 -> 9.12.3-P2，以及 BIND 9 支持的预览版的 9.9.3-S1 -> 9.11.5-S3 版。9.13 开发分支的 9.13.0 -> 9.13.6 版也会受到影响。尚未针对 CVE-2019-6465 的漏洞评估 BIND 9.9.0 之前的版本。(CVE-2019-6465)

  - managed-keys 功能可让 BIND 解析器自动维护信任锚使用的密钥，这些信任锚由操作员配置为用于 DNSSEC 验证。由于 managed-keys 功能出错，如果在密钥滚动更新期间，信任锚的密钥被取代为使用不受支持算法的密钥，则使用 managed-keys 的 BIND 服务器可能会因为断言失败而结束。
    受影响的版本：BIND 9.9.0 -> 9.10.8-P1、9.11.0 -> 9.11.5-P1、9.12.0 -> 9.12.3-P1，以及 BIND 9 支持的预览版的 9.9.3-S1 -> 9.11.5-S3 版。9.13 开发分支的 9.13.0 -> 9.13.6 版也会受到影响。尚未针对 CVE-2018-5745 的漏洞评估 BIND 9.9.0 之前的版本。(CVE-2018-5745)

  - 管道启用后，TCP 连接上的每个传入查询都需要通过 UDP 或通过未启用管道的 TCP，向接收到的查询进行类似的资源分配。客户端使用 TCP 管道式连接与服务器进行连接，其消耗的资源可能比分配给服务器去处理的资源更多。当具有大量管道查询的 TCP 连接关闭时，释放这些多种资源的服务器上的负载会导致服务器失去响应，即使是权威应答或从缓存应答的查询也是如此。（此问题最有可能被视为间歇性服务器问题）。
    (CVE-2019-6477)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

“managed-keys”功能可让 BIND 解析器自动维护信任锚使用的密钥，这些信任锚由操作员配置为用于 DNSSEC 验证。由于 managed-keys 功能出错，如果在密钥滚动更新期间，信任锚的密钥被取代为使用不受支持算法的密钥，则使用 managed-keys 的 BIND 服务器可能会因为断言失败而结束。受影响的版本：BIND 9.9.0 -> 9.10.8-P1、9.11.0 -> 9.11.5-P1、9.12.0 -> 9.12.3-P1，以及 BIND 9 支持的预览版的 9.9.3-S1 -> 9.11.5-S3 版。9.13 开发分支的 9.13.0 -> 9.13.6 版也会受到影响。尚未针对 CVE-2018-5745 的漏洞评估 BIND 9.9.0 之前的版本。(CVE-2018-5745)

管道启用时，TCP 连接上的每个传入查询都需要通过 UDP 或通过未启用管道的 TCP，向收到的查询进行类似的资源分配。客户端使用 TCP 管道式连接与服务器进行连接，其消耗的资源可能比分配给服务器去处理的资源更多。当具有大量管道查询的 TCP 连接关闭时，释放这些多种资源的服务器上的负载会导致服务器失去响应，即使是权威应答或从缓存应答的查询也是如此。（此问题最有可能被视为间歇性服务器问题）。(CVE-2019-6477)

如果区域可写入，则区域传输控制可能无法正确地应用于动态加载区域 (DLZ)。受影响的版本：
BIND 9.9.0 -> 9.10.8-P1、9.11.0 -> 9.11.5-P2、9.12.0 -> 9.12.3-P2，以及 BIND 9 支持的预览版的 9.9.3-S1 -> 9.11.5-S3 版。
9.13 开发分支的 9.13.0 -> 9.13.6 版也会受到影响。尚未针对 CVE-2019-6465 的漏洞评估 BIND 9.9.0 之前的版本。(CVE-2019-6465)

在 DNS 服务器实现 BIND 中发现数个漏洞。

  - CVE-2019-6477 发现 TCP 管道式查询可绕过 tcp-client 限制，从而导致拒绝服务。

  - CVE-2020-8616 发现 BIND 未充分限制处理参照时执行的提取次数。攻击者可利用此缺陷造成拒绝服务（性能下降），或使用递归服务器进行高放大系数的反射攻击。

  - CVE-2020-8617 发现用于检查 TSIG 有效性的代码中的逻辑错误可用于触发断言失败，从而导致拒绝服务。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 1061 公告中提及的多个漏洞的影响。

  - bind：使用 managed-keys 时，如果信任定位标记滚动至不支持的密钥算法，则会造成断言失败 (CVE-2018-5745)

  - bind：如果区域可写入，则区域传输控制可能无法正确应用到 DLZ (CVE-2019-6465)

  - bind：TCP 管道未限制单个连接上的 TCP 客户端 (CVE-2019-6477)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

已发现 Bind 未正确处理特定的 TCP 流水线式查询。远程攻击者可能利用此问题导致 Bind 消耗资源，从而导致拒绝服务。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 1061 公告中提及的多个漏洞的影响。

  - bind：使用 managed-keys 时，如果信任定位标记滚动至不支持的密钥算法，则会造成断言失败 (CVE-2018-5745)

  - bind：如果区域可写入，则区域传输控制可能无法正确应用到 DLZ (CVE-2019-6465)

  - bind：TCP 管道未限制单个连接上的 TCP 客户端 (CVE-2019-6477)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

运行 MAIN 6.01 版本的远程 NewStart CGSL 主机上安装的 bind 程序包受到多个漏洞的影响：

  - 管道启用后，TCP 连接上的每个传入查询都需要通过 UDP 或通过未启用管道的 TCP，向接收到的查询进行类似的资源分配。客户端使用 TCP 管道式连接与服务器进行连接，其消耗的资源可能比分配给服务器去处理的资源更多。当具有大量管道查询的 TCP 连接关闭时，释放这些多种资源的服务器上的负载会导致服务器失去响应，即使是权威应答或从缓存应答的查询也是如此。（此问题最有可能被视为间歇性服务器问题）。(CVE-2019-6477)

  - 恶意行为者故意利用处理引荐报文时对查询数量缺乏有效限制的缺陷，通过使用特别构建的引荐报文，可以导致递归服务器在尝试处理引荐报文时发出大量的查询报文。这样至少有两项潜在影响：由于发送了大量的额外查询报文，递归服务器的性能可能降低，攻击者可利用此行为来让递归服务器成为反射器来发起反射放大攻击。
    (CVE-2020-8616)

  - 如果攻击者知道（或成功猜测）服务器使用的 TSIG 密钥名称，则攻击者有可能使用特别构建的消息使 BIND 服务器达到不一致的状态。由于 BIND 默认情况下会在其配置未使用的本地服务器上配置本地会话密钥，因此几乎当前所有的 BIND 服务器都容易受到攻击。
    在 2018 年 3 月及之后发布的 BIND 版本中，tsig.c 中的断言检查可检测到这种不一致的状态并强制退出。在引入检查之前，服务器将继续以不一致的状态运行，从而可能产生危害。
    (CVE-2020-8617)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 1845 公告中提及的漏洞的影响。

  - bind：TCP 管道未限制单个连接上的 TCP 客户端 (CVE-2019-6477)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

为 Slackware 14.0、14.1、14.2 以及当前版本提供了用于修复安全问题的新 bind 程序包。

由于 TCP 客户端问题，ISC BIND 9 中存在拒绝服务 (DoS) 漏洞。未经身份验证的远程攻击者可利用此问题，通过 DNS 请求，造成设备停止响应。

* bind：TCP 管道未限制单个连接上的 TCP 客户端 * bind：使用 managed-keys 时，如果信任定位标记滚动至不支持的密钥算法，则会造成断言失败 * bind：
如果区域可写入，则区域传输控制可能无法正确应用到 DLZ

远程 Oracle Linux 8 主机上安装的多个程序包受到 ELSA-2020-1845 公告中提及的漏洞的影响。

  - 管道启用后，TCP 连接上的每个传入查询都需要通过 UDP 或通过未启用管道的 TCP，向接收到的查询进行类似的资源分配。客户端使用 TCP 管道式连接与服务器进行连接，其消耗的资源可能比分配给服务器去处理的资源更多。当具有大量管道查询的 TCP 连接关闭时，释放这些多种资源的服务器上的负载会导致服务器失去响应，即使是权威应答或从缓存应答的查询也是如此。（此问题最有可能被视为间歇性服务器问题）。
    (CVE-2019-6477)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
143897	NewStart CGSL CORE 5.04 / MAIN 5.04：bind 多个漏洞 (NS-SA-2020-0063)	Nessus	NewStart CGSL Local Security Checks	2020/12/9	2020/12/10	medium
131450	Fedora 31：32:bind / bind-dyndb-ldap / dnsperf (2019-73a8737068)	Nessus	Fedora Local Security Checks	2019/12/3	2019/12/20	high
133625	F5 Networks BIG-IP：BIND 漏洞 (K15840535)	Nessus	F5 Networks Local Security Checks	2020/2/12	2023/11/2	high
144003	NewStart CGSL CORE 5.05 / MAIN 5.05：bind 多个漏洞 (NS-SA-2020-0095)	Nessus	NewStart CGSL Local Security Checks	2020/12/9	2020/12/10	medium
180700	Oracle Linux 7：bind (ELSA-2020-1061)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	medium
138043	Amazon Linux 2：bind (ALAS-2020-1441)	Nessus	Amazon Linux Local Security Checks	2020/7/2	2020/7/6	medium
136721	Debian DSA-4689-1：bind9 - 安全更新	Nessus	Debian Local Security Checks	2020/5/20	2024/3/12	high
135069	RHEL 7：bind (RHSA-2020: 1061)	Nessus	Red Hat Local Security Checks	2020/4/1	2024/4/28	medium
131225	Ubuntu 18.04 LTS：Bind 漏洞 (USN-4197-1)	Nessus	Ubuntu Local Security Checks	2019/11/22	2023/10/20	high
135328	CentOS 7：bind (CESA-2020: 1061)	Nessus	CentOS Local Security Checks	2020/4/10	2020/6/5	medium
164612	Nutanix AOS：多个漏洞 (NXSA-AOS-5.17.1)	Nessus	Misc.	2022/9/1	2024/3/5	critical
138773	NewStart CGSL MAIN 6.01：bind 多个漏洞 (NS-SA-2020-0031)	Nessus	NewStart CGSL Local Security Checks	2020/7/21	2024/2/29	high
136043	RHEL 8：bind (RHSA-2020: 1845)	Nessus	Red Hat Local Security Checks	2020/4/28	2024/4/28	high
164595	Nutanix AOS：多个漏洞 (NXSA-AOS-5.18)	Nessus	Misc.	2022/9/1	2024/3/13	critical
131178	Slackware 14.0 / 14.1 / 14.2 / 当前版本：bind (SSA:2019-324-01)	Nessus	Slackware Local Security Checks	2019/11/21	2019/12/20	high
131735	ISC BIND 9.11.0 / 9.11.x < 9.11.13 / 9.11.x < 9.11.13-S1 / 9.12.x < 9.12.5-P2 / 9.14.x < 9.14.8 / 9.15 / 9.15.x < 9.15.6 漏洞	Nessus	DNS	2019/12/6	2020/5/22	high
135801	Scientific Linux 安全更新：SL7.x x86_64 中的 bind (20200407)	Nessus	Scientific Linux Local Security Checks	2020/4/21	2020/4/24	medium
180987	Oracle Linux 8：bind (ELSA-2020-1845)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	high
164596	Nutanix AOS：多个漏洞 (NXSA-AOS-5.15.3)	Nessus	Misc.	2022/9/1	2024/4/12	critical

检测

插件搜索

medium

high

high

medium

medium

medium

high

medium

high

medium

critical

high

high

critical

high

high

medium

high

critical