运行 CORE 5.04/MAIN 5.04 版本的远程 NewStart CGSL 主机上安装的 bind 程序包受到多个漏洞的影响：

  - 在 BIND 9.0.0 -> 9.11.21、9.12.0 -> 9.16.5、9.17.0 -> 9.17.3 中（也影响 BIND 9 支持的预览版 9.9.3-S1 -> 9.11.21-S1），在网络路径上发送 TSIG 签名请求或操作服务器接收 TSIG 签名请求的攻击者，可以向该请求发送截断响应，从而触发断言失败，造成服务器退出。或者，路径外攻击者必须正确猜测 TSIG 签名请求的发送时间以及数据包和消息的其他特性，并且伪造截断响应来触发断言失败，从而造成服务器退出。
    (CVE-2020-8622)

  - 在 BIND 9.10.0 -> 9.11.21、9.12.0 -> 9.16.5、9.17.0 -> 9.17.3 中，如果攻击者可以借助特别构建的查询数据包到达易受攻击的系统，便会造成崩溃，也会影响 BIND 9 Supported Preview Edition 的 9.10.5-S1 -> 9.11.21-S1。若要易受攻击，系统必须：* 运行使用其构建的 BIND
    --enable-native-pkcs11 * 用 RSA 密钥签署一个或多个区域 * 能够接收来自潜在攻击者的查询 (CVE-2020-8623)

  - 在 BIND 9.9.12 -> 9.9.13、9.10.7 -> 9.10.8、9.11.3 -> 9.11.21、9.12.1 -> 9.16.5、9.17.0 -> 9.17.3 中，获得更改区域内容的特定子集权限的攻击者可能会利用这些额外的非预期访问权来更新区域的其他内容，这也会影响 BIND 9 Supported Preview Edition 的 9.9.12-S1 -> 9.9.13-S1、9.11.3-S1 -> 9.11.21-S1。(CVE-2020-8624)

  - 远程攻击者可利用低于 9.2.6-P1 的 BIND 版本及低于 9.3.2-P1 的 9.3.x 版本，通过某些 SIG 查询，造成拒绝服务（崩溃），当返回多个 RRset 时，此漏洞可导致断言失败。
    (CVE-2006-4095)

  - ISC BIND 9.4.0 及 9.5.0a1 - 9.5.0a3 的 query.c 中存在不明漏洞，启用递归时，远程攻击者可利用此漏洞，通过由 query_addsoa 函数处理的一系列查询，造成拒绝服务（后台程序退出）。(CVE-2007-2241)

  - ISC BIND 9.4.0、9.4.1 和 9.5.0a1 - 9.5.0a5 中的默认访问控制列表 (ACL) 不能设置 allow-recursion 和 allow-query-cache ACL，远程攻击者可利用此漏洞，进行递归查询和查询缓存。(CVE-2007-2925)

  - 在回答解析器问题或向从属名称服务器发送 NOTIFY 消息时，ISC BIND 9 - 9.5.0a5 会在生成 DNS 查询 ID 期间使用弱随机数发生器，远程攻击者可利用此漏洞，更轻松地猜测下一个查询 ID，造成 DNS 缓存中毒。(CVE-2007-2926)

  - Red Hat Enterprise Linux 5 和 Fedora 安装的 Bind /etc/rndc.key 文件具有全局可读权限，本地用户可利用此漏洞执行未经授权的 named 命令，通过停止 named 造成拒绝服务。(CVE-2007-6283)

  - ISC BIND 9.4.2 和较早版本（用于 FreeBSD 6.2 - 7.0-PRERELEASE 的 libc）中 libbind 的 inet_network 函数存在差一错误，上下文有关的攻击者可利用此漏洞，通过构建的触发内存损坏的输入，造成拒绝服务（崩溃），并可能执行任意代码。
    (CVE-2008-0122)

  - 在 (1) 版本低于 9.5.0-P1、9.4.2-P1 和 9.3.5-P1 的 BIND 8 和 9 中；(2) Windows 2000 SP4、XP SP2 和 SP3 以及 Server 2003 SP1 和 SP2 的 Microsoft DNS 中，远程攻击者可利用实现的 DNS 协议及其他实现，通过生日攻击伪造 DNS 流量，此攻击使用 in-bailiwick 参照造成递归解析器缓存中毒，这与 DNS 事务 ID 和源端口的随机性不足有关，又称为 DNS 套接字熵不足漏洞或 Kaminsky 错误。
    (CVE-2008-1447)

  - 在 BIND 9.6.0、9.5.1、9.5.0、9.4.3 和较早版本中，未正确检查 OpenSSL DSA_verify 函数的返回值，远程攻击者可利用此漏洞，通过格式错误的 SSL/TLS 签名，绕过证书链验证，此漏洞类似于 CVE-2008-5077。(CVE-2009-0025)

  - 在低于 9.4.3-P3 的 ISC BIND 9.4 版本、低于 9.5.1-P3 的 9.5 版本和低于 9.6.1-P1 的 9.6 版本中，当 named 配置为主服务器时，远程攻击者可利用其中 db.c 的 dns_db_findrdataset 函数，通过构建的动态更新消息前提条件部分的 ANY 记录，造成拒绝服务（断言失败和后台程序退出），2009 年 7 月攻击者已在通常环境中利用此漏洞。(CVE-2009-0696)

  - 在 BIND 9.7.1 及 9.7.1-P1 中，当递归验证服务器具有静态配置的或通过 DNSSEC 域旁路验证 (DLV) 的信任定位标记时，远程攻击者可通过查询答案不在缓存中的 RRSIG 记录，造成拒绝服务（无限循环），从而导致 BIND 向授权服务器反复发送 RRSIG 查询。(CVE-2010-0213)

  - 在版本低于 9.8.0-P1 的 ISC BIND 9.8.x 中，当启用响应策略区域 (RPZ) RRset 替代项时，远程攻击者可通过 RRSIG 查询，造成拒绝服务（断言失败和后台程序退出）。
    (CVE-2011-1907)

  - 在低于 9.7.3-P1 的 ISC BIND 9.x 版本、低于 9.8.0-P2 的 9.8.x 版本、低于 9.4-ESV-R4-P1 的 9.4-ESV 版本和低于 9.6-ESV-R4-P1 的 9.6-ESV 版本中，named 中存在差一错误，远程 DNS 服务器可利用此漏洞，通过包含大型 RRSIG RRset 的负响应，造成拒绝服务（断言失败和后台程序退出）。(CVE-2011-1910)

  - 在 ISC BIND 9.0.x - 9.6.x、9.4-ESV - 9.4-ESV-R5、9.6-ESV - 9.6-ESV-R5、9.7.0 - 9.7.4、9.8.0 - 9.8.1 和 9.9.0a1 - 9.9.0b1 中，远程攻击者可利用 query.c，通过与递归 DNS 查询、错误日志记录和解析器导致的无效记录缓存相关的未知向量，造成拒绝服务（断言失败和 named 退出）。(CVE-2011-4313)

  - 9.7.6-P1 之前的 9.x、9.8.3-P1 之前的 9.8.x、9.9.1-P1 之前的 9.9.x 以及 9.6-ESV-R7-P1 之前的 9.4-ESV 和 9.6-ESV 的 ISC BIND 版本无法正确处理含零长度 RDATA 部分的资源记录，从而允许远程 DNS 服务器造成拒绝服务（后台程序崩溃或数据损坏），或通过构建的记录从进程内存中获取敏感信息。(CVE-2012-1667)

  - 在 UNIX 平台上低于 9.8.4-P2 的 ISC BIND 9.7.x 和 9.8.x 版本、低于 9.8.5b2 的 9.8.5 版本、低于 9.9.2-P2 的 9.9.x 版本和低于 9.9.3b2 的 9.9.3 版本中，远程攻击者可利用 libdns，通过构建的正则表达式，造成拒绝服务（内存消耗），对运行 named 进程的计算机发起的内存耗尽攻击即为一例。(CVE-2013-2266)

  - 在低于 9.8.5-P1 的 ISC BIND 9.8.5 版本、低于 9.9.3-P1 的 9.9.3 版本和低于 9.6-ESV-R9-P1 的 9.6-ESV-R9 版本中，当配置递归解析器时，远程攻击者可利用 resolver.c，通过查询格式错误区域中的记录，造成拒绝服务（断言失败和 named 后台程序退出）。(CVE-2013-3919)

  - 在低于 9.8.5-P2、9.8.6b1 的 ISC BIND 9.7.x 和 9.8.x 版本、低于 9.9.3-P2 和 9.9.4b1 的 9.9.x 版本以及低于 9.9.3-S1-P1 和 9.9.4-S1b1 的 DNSco BIND 9.9.3-S1 版本中，远程攻击者可利用 rdata.c 中的 RFC 5011 实现，通过具有在日志消息构建期间未正确处理的畸形 RDATA 部分的查询， 造成拒绝服务（断言失败和 named 后台程序退出），2013 年 7 月攻击者已在通常环境中利用此漏洞。(CVE-2013-4854)

  - 在低于 9.8.6-P2 的 ISC BIND 9.6、9.7 和 9.8 版本、低于 9.9.4-P2 的 9.9 版本和低于 9.6-ESV-R10-P2 的 9.6-ESV 版本中，远程攻击者可利用 named 的 query.c 中的 query_findclosestnsec3 函数，通过对授权名称服务器（该名称服务器使用 NSEC3 签名功能）的构建的 DNS 查询，造成拒绝服务（INSIST 断言失败和后台程序退出）。(CVE-2014-0591)

  - 丢弃畸形数据包时可能发生的争用条件可导致 BIND 退出，这是 dispatch.c 中的 REQUIRE 断言失败所致。受影响的版本：BIND 9.11.0 -> 9.11.7、9.12.0 -> 9.12.4-P1、9.14.0 -> 9.14.2。此外还会影响所有 BIND 9.13 开发分支版本、BIND 9.15 开发分支版本 9.15.0 和 BIND Supported Preview Edition 版本 9.11.3-S1 -> 9.11.7-S1。
    (CVE-2019-6471)

  - 恶意行为者故意利用处理引荐报文时对查询数量缺乏有效限制的缺陷，通过使用特别构建的引荐报文，可以导致递归服务器在尝试处理引荐报文时发出大量的查询报文。这样至少有两项潜在影响：由于发送了大量的额外查询报文，递归服务器的性能可能降低，攻击者可利用此行为来让递归服务器成为反射器来发起反射放大攻击。(CVE-2020-8616)

  - 如果攻击者知道（或成功猜测）服务器使用的 TSIG 密钥名称，则攻击者有可能使用特别构建的消息使 BIND 服务器达到不一致的状态。由于 BIND 默认情况下会在其配置未使用的本地服务器上配置本地会话密钥，因此几乎当前所有的 BIND 服务器都容易受到攻击。在 2018 年 3 月及之后发布的 BIND 版本中，tsig.c 中的断言检查可检测到这种不一致的状态并强制退出。在引入检查之前，服务器将继续以不一致的状态运行，从而可能产生危害。(CVE-2020-8617)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

来自 Red Hat 安全公告 2019:1714： bind 的更新现在可用于 Red Hat Enterprise Linux 8。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Berkeley Internet Name Domain (BIND) 是域名系统 (DNS) 协议的一种实现。BIND 包含一个 DNS 服务器 (named)；一个解析器库（与 DNS 接合时供应用程序使用的例程）；以及用于验证 DNS 服务器是否正常运行的工具。 安全补丁： * bind：丢弃格式错误的数据包时的争用条件会导致 bind 因断言失败而退出 (CVE-2019-6471) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

发现 Bind 未能正确处理某些畸形数据包。远程攻击者可能利用此问题造成 Bind 崩溃，从而导致拒绝服务。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

bind 的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Berkeley Internet Name Domain (BIND) 是域名系统 (DNS) 协议的一种实现。BIND 包含一个 DNS 服务器 (named)；一个解析器库（与 DNS 接合时供应用程序使用的例程）；以及用于验证 DNS 服务器是否正常运行的工具。安全修复：* bind：争用条件可能在弃用畸形的数据包时造成 BIND 以断言失败结束。 (CVE-2019-6471) 有关安全问题的详细信息，包括影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

根据其自我报告的版本，在远程名称服务器上运行的 ISC BIND 9 实例为 9.11.0 和 9.11.7 之间的版本、9.11.3-S1 和 9.11.7-S1、9.12.0 和 9.12.4-P1、9.13.x、9.14.0 和 9.14.3 或 9.15。因此，受到争用条件漏洞影响，可能在弃用格式错误的数据包时造成 BIND 以宣告失败结束。请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

** 已预留 ** 该候选版本已被某个组织或个人预留，将在公告新的安全问题时使用。在公布候选版本时，将提供该候选版本的详情。(CVE-2019-6471) 影响 远程攻击者可能会造成 BIND 解析器在服务器上执行查询，并故意响应格式错误的应答，从而导致 named 退出并发生拒绝服务 (DoS) 的情况。

为 Slackware 14.0、14.1、14.2 以及当前版本提供了用于修复拒绝服务安全问题的新 bind 程序包。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
147379	NewStart CGSL CORE 5.04 / MAIN 5.04：bind 多个漏洞 (NS-SA-2021-0017)	Nessus	NewStart CGSL Local Security Checks	2021/3/10	2022/5/10	medium
127597	Oracle Linux 8 : bind (ELSA-2019-1714)	Nessus	Oracle Linux Local Security Checks	2019/8/12	2024/5/7	medium
126097	Ubuntu 18.04 LTS：Bind 漏洞 (USN-4026-1)	Nessus	Ubuntu Local Security Checks	2019/6/21	2023/10/21	medium
126611	RHEL 8：bind (RHSA-2019:1714)	Nessus	Red Hat Local Security Checks	2019/7/11	2024/4/28	medium
126339	ISC BIND 争用条件漏洞 (CVE-2019-6471)	Nessus	DNS	2019/6/28	2019/11/4	medium
127495	F5 网络 BIG-IP：BIND 漏洞 (K10092301)	Nessus	F5 Networks Local Security Checks	2019/8/12	2023/11/2	medium
126092	Slackware 14.0 / 14.1 / 14.2 / 当前版本：bind (SSA:2019-171-01)	Nessus	Slackware Local Security Checks	2019/6/21	2024/5/15	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium