1.修復(fù)的CVE ·CVE-2016-2775 描述：當(dāng)要求解析查詢名稱時(shí)，BIND中的輕量級(jí)解析程序協(xié)議實(shí)現(xiàn)可能會(huì)進(jìn)入無(wú)限遞歸并崩潰，當(dāng)與搜索列表?xiàng)l目結(jié)合使用時(shí)，該查詢名稱超過(guò)了最大允許長(zhǎng)度。當(dāng)在named.conf中使用“ lwres”語(yǔ)句時(shí)，遠(yuǎn)程攻擊者可能會(huì)利用此缺陷使lwresd或named崩潰。 ·CVE-2016-2776 描述：在BIND構(gòu)造對(duì)滿足特定條件的查詢的響應(yīng)的方式中發(fā)現(xiàn)了拒絕服務(wù)缺陷。遠(yuǎn)程攻擊者可能會(huì)利用此缺陷，通過(guò)特制的DNS請(qǐng)求數(shù)據(jù)包，使聲明出口意外斷言失敗。 ·CVE-2016-8864 描述：在BIND處理包含DNAME應(yīng)答的響應(yīng)時(shí)發(fā)現(xiàn)了拒絕服務(wù)缺陷。遠(yuǎn)程攻擊者可利用此缺陷通過(guò)巧盡心思構(gòu)建的DNS響應(yīng)，使命名退出意外出現(xiàn)斷言失敗 ·CVE-2016-9131 描述：在BIND處理對(duì)ANY查詢的響應(yīng)時(shí)發(fā)現(xiàn)了拒絕服務(wù)缺陷。遠(yuǎn)程攻擊者可利用此缺陷通過(guò)巧盡心思構(gòu)建的DNS響應(yīng)，使命名退出意外出現(xiàn)斷言失敗。 ·CVE-2016-9147 描述：BIND處理包含不一致DNSSEC信息的查詢響應(yīng)時(shí)發(fā)現(xiàn)了拒絕服務(wù)漏洞。遠(yuǎn)程攻擊者可利用此缺陷通過(guò)巧盡心思構(gòu)建的DNS響應(yīng)，使命名退出意外出現(xiàn)斷言失敗。 ·CVE-2016-9444 描述：在BIND處理異常格式的DS記錄響應(yīng)的方式中發(fā)現(xiàn)了一個(gè)拒絕服務(wù)缺陷。遠(yuǎn)程攻擊者可利用此缺陷通過(guò)巧盡心思構(gòu)建的DNS響應(yīng)，使命名退出意外出現(xiàn)斷言失敗。 ·CVE-2017-3135 描述：當(dāng)使用DNS64和RPZ時(shí)，在BIND處理查詢響應(yīng)的方式中發(fā)現(xiàn)了一個(gè)拒絕服務(wù)缺陷。遠(yuǎn)程攻擊者可以利用此缺陷，通過(guò)巧盡心思構(gòu)建的DNS響應(yīng)，通過(guò)斷言失敗或空指針取消引用，使命名退出意外發(fā)生。 ·CVE-2017-3136 描述：在使用帶有“break dnssec yes”選項(xiàng)的DNS64時(shí)，在BIND處理查詢請(qǐng)求的方式中發(fā)現(xiàn)了一個(gè)拒絕服務(wù)缺陷。遠(yuǎn)程攻擊者可以利用此缺陷通過(guò)巧盡心思構(gòu)建的DNS請(qǐng)求，使命名退出意外出現(xiàn)斷言失敗。 ·CVE-2017-3137 描述：在BIND以異常順序處理包含CNAME或DNAME資源記錄的查詢響應(yīng)時(shí)，發(fā)現(xiàn)了一個(gè)拒絕服務(wù)漏洞。遠(yuǎn)程攻擊者可利用此缺陷通過(guò)巧盡心思構(gòu)建的DNS響應(yīng)，使命名退出意外出現(xiàn)斷言失敗。 ·CVE-2017-3142 描述：在BIND處理AXFR請(qǐng)求的TSIG身份驗(yàn)證時(shí)發(fā)現(xiàn)了一個(gè)缺陷。能夠與權(quán)威綁定服務(wù)器通信的遠(yuǎn)程攻擊者可以利用此漏洞通過(guò)發(fā)送特殊構(gòu)造的請(qǐng)求包來(lái)查看區(qū)域的全部?jī)?nèi)容。 ·CVE-2017-3143 描述：在BIND處理動(dòng)態(tài)更新的TSIG身份驗(yàn)證時(shí)發(fā)現(xiàn)了一個(gè)缺陷。能夠與權(quán)威綁定服務(wù)器通信的遠(yuǎn)程攻擊者可以利用此漏洞通過(guò)為動(dòng)態(tài)更新請(qǐng)求偽造有效的TSIG或SIG（0）簽名來(lái)操縱區(qū)域的內(nèi)容。 ·CVE-2017-3145 描述：在BIND內(nèi)部處理上游遞歸獲取上下文上的清理操作時(shí)，發(fā)現(xiàn)了導(dǎo)致拒絕服務(wù)的釋放后使用缺陷。遠(yuǎn)程攻擊者可能會(huì)利用此漏洞，通過(guò)巧盡心思構(gòu)建的DNS請(qǐng)求，使named（充當(dāng)DNSSEC驗(yàn)證解析器）意外退出，并出現(xiàn)斷言失敗。 ·CVE-2018-5740 描述：在包含“拒絕應(yīng)答別名”功能的綁定版本中發(fā)現(xiàn)了一個(gè)拒絕服務(wù)漏洞。此漏洞可使遠(yuǎn)程攻擊者觸發(fā)命名中的堅(jiān)持?jǐn)嘌?，從而?dǎo)致進(jìn)程終止和拒絕服務(wù)條件。 ·CVE-2018-5741 描述：為了提供對(duì)使用動(dòng)態(tài)DNS（DDNS）更新區(qū)域中記錄的能力的細(xì)粒度控制，bind9提供了一個(gè)名為updatepolicy的功能?？梢耘渲酶鞣N規(guī)則來(lái)限制客戶端可以執(zhí)行的更新類型，具體取決于發(fā)送更新請(qǐng)求時(shí)使用的密鑰。不幸的是，一些規(guī)則類型最初沒(méi)有被記錄，當(dāng)它們的文檔被添加到change#3112的管理員參考手冊(cè)（ARM）中時(shí)，添加到ARM的語(yǔ)言錯(cuò)誤地描述了兩種規(guī)則類型的行為，krb5子域和ms子域。這種不正確的文檔可能會(huì)誤導(dǎo)操作員，使他們相信他們配置的策略比實(shí)際的更嚴(yán)格。這會(huì)影響bind9.11.5和bind9.12.3之前的BIND版本。 ·CVE-2018-5743 描述：在bind實(shí)現(xiàn)可調(diào)的方式中發(fā)現(xiàn)了一個(gè)缺陷，該缺陷限制了同時(shí)進(jìn)行的TCP客戶端連接。遠(yuǎn)程攻擊者可以利用此漏洞耗盡named可用的文件描述符池，從而可能影響網(wǎng)絡(luò)連接和日志文件或區(qū)域日志文件等文件的管理。在命名進(jìn)程不受操作系統(tǒng)強(qiáng)制的每個(gè)進(jìn)程限制的情況下，這還可能導(dǎo)致耗盡該系統(tǒng)上所有可用的可用文件描述符。 ·CVE-2018-5745 描述：在bind實(shí)現(xiàn)“托管密鑰”功能時(shí)發(fā)現(xiàn)斷言失敗。攻擊者可以利用此漏洞導(dǎo)致命名守護(hù)程序崩潰。攻擊者很難觸發(fā)此漏洞，因?yàn)樗蟛僮鲉T將BIND配置為使用攻擊者管理的信任錨。 ·CVE-2019-6465 描述：發(fā)現(xiàn)區(qū)域傳輸?shù)目刂茮](méi)有正確應(yīng)用于動(dòng)態(tài)可加載區(qū)域（DLZ）。充當(dāng)DNS客戶端的攻擊者可以利用此漏洞請(qǐng)求和接收DLZ的區(qū)域傳輸，即使“允許傳輸”ACL不允許這樣做。 ·CVE-2019-6477 描述：在bind限制任何給定時(shí)間可以連接的TCP客戶端數(shù)量的方式中發(fā)現(xiàn)了一個(gè)缺陷。遠(yuǎn)程攻擊者可以使用一個(gè)TCP客戶端通過(guò)單個(gè)連接發(fā)送大量的DNS請(qǐng)求，導(dǎo)致named可用的文件描述符池耗盡，并可能影響網(wǎng)絡(luò)連接和日志文件或區(qū)域日志文件等文件的管理。 2.受影響的軟件包 ·中標(biāo)麒麟高級(jí)服務(wù)器操作系統(tǒng) V7 ·aarch64架構(gòu): bind、bind-chroot、bind-devel、bind-export-devel、bind-export-libs、bind-libs、bind-libs-lite、bind-license、bind-lite-devel、bind-pkcs11、bind-pkcs11-devel、bind-pkcs11-libs、bind-pkcs11-utils、bind-sdb、bind-sdb-chroot、bind-utils ·x86_64架構(gòu): bind、bind-chroot、bind-devel、bind-export-devel、bind-export-libs、bind-libs、bind-libs-lite、bind-license、bind-lite-devel、bind-pkcs11、bind-pkcs11-devel、bind-pkcs11-libs、bind-pkcs11-utils、bind-sdb、bind-sdb-chroot、bind-utils 3.軟件包修復(fù)版本 ·中標(biāo)麒麟高級(jí)服務(wù)器操作系統(tǒng) V7 (aarch64、x86_64) bind-9.11.4-16.P2.el7或以上版本 bind-chroot-9.11.4-16.P2.el7或以上版本 bind-devel-9.11.4-16.P2.el7或以上版本 bind-export-devel-9.11.4-16.P2.el7或以上版本 bind-export-libs-9.11.4-16.P2.el7或以上版本 bind-libs-9.11.4-16.P2.el7或以上版本 bind-libs-lite-9.11.4-16.P2.el7或以上版本 bind-license-9.11.4-16.P2.el7或以上版本 bind-lite-devel-9.11.4-16.P2.el7或以上版本 bind-pkcs11-9.11.4-16.P2.el7或以上版本 bind-pkcs11-devel-9.11.4-16.P2.el7或以上版本 bind-pkcs11-libs-9.11.4-16.P2.el7或以上版本 bind-pkcs11-utils-9.11.4-16.P2.el7或以上版本 bind-sdb-9.11.4-16.P2.el7或以上版本 bind-sdb-chroot-9.11.4-16.P2.el7或以上版本 bind-utils-9.11.4-16.P2.el7或以上版本 4.修復(fù)方法 方法一：配置源進(jìn)行升級(jí)安裝 1.打開(kāi)軟件包源配置文件，根據(jù)倉(cāng)庫(kù)地址進(jìn)行修改。 倉(cāng)庫(kù)源地址： 中標(biāo)麒麟高級(jí)服務(wù)器操作系統(tǒng) V7 aarch64:https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/ x86_64:https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/ 2.配置完成后執(zhí)行更新命令進(jìn)行升級(jí)，命令如下： yum update Packagename 方法二：下載安裝包進(jìn)行升級(jí)安裝 通過(guò)軟件包地址下載軟件包，使用軟件包升級(jí)命令根據(jù)受影響的軟件包 列表進(jìn)行升級(jí)安裝, 命令如下： yum install Packagename 3.升級(jí)完成后是否需要重啟服務(wù)或操作系統(tǒng)： CVE-2016-2775:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2016-2776:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2016-8864:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2016-9131:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2016-9147:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2016-9444:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2017-3135:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2017-3136:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2017-3137:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2017-3142:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2017-3143:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2017-3145:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2018-5740:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2018-5741:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2018-5743:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2018-5745:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2019-6465:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2019-6477:無(wú)需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 5.軟件包下載地址 ·中標(biāo)麒麟高級(jí)服務(wù)器操作系統(tǒng) V7 bind(aarch64)軟件包下載地址: https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-chroot-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-devel-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-export-devel-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-export-libs-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-libs-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-libs-lite-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-license-9.11.4-16.P2.el7.noarch.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-lite-devel-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-pkcs11-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-pkcs11-devel-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-pkcs11-libs-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-pkcs11-utils-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-sdb-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-sdb-chroot-9.11.4-16.P2.el7.aarch64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/aarch64/Packages/bind-utils-9.11.4-16.P2.el7.aarch64.rpm bind(x86_64)軟件包下載地址: https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-chroot-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-devel-9.11.4-16.P2.el7.i686.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-devel-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-export-devel-9.11.4-16.P2.el7.i686.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-export-devel-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-export-libs-9.11.4-16.P2.el7.i686.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-export-libs-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-libs-9.11.4-16.P2.el7.i686.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-libs-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-libs-lite-9.11.4-16.P2.el7.i686.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-libs-lite-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-license-9.11.4-16.P2.el7.noarch.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-lite-devel-9.11.4-16.P2.el7.i686.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-lite-devel-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-pkcs11-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-pkcs11-devel-9.11.4-16.P2.el7.i686.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-pkcs11-devel-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-pkcs11-libs-9.11.4-16.P2.el7.i686.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-pkcs11-libs-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-pkcs11-utils-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-sdb-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-sdb-chroot-9.11.4-16.P2.el7.x86_64.rpm https://update.cs2c.com.cn/NS/V7/V7Update8/os/adv/lic/base/x86_64/Packages/bind-utils-9.11.4-16.P2.el7.x86_64.rpm 注：其他相關(guān)依賴包請(qǐng)到相同目錄下載 6.修復(fù)驗(yàn)證 使用軟件包查詢命令，查看相關(guān)軟件包版本是否與修復(fù)版本一致，如果版本一致，則說(shuō)明修復(fù)成功。 sudo rpm -qa | grep Packagename