ここから本文です

「BIND 9.x」に意図しないアクセス許可の脆弱性、対応を呼びかけ(JPRS)

6/14(木) 8:00配信

ScanNetSecurity

株式会社日本レジストリサービス(JPRS)は6月13日、「BIND 9.xの脆弱性(サービス提供者が意図しないアクセスの許可)について」を発表した。これは、実装上の不具合により、提供者が意図しない形で外部からのアクセスが許可され、DoS攻撃の踏み台にされたり、キャッシュを外部から覗かれることでドメイン名の利用状況や組織内のみで使っているドメイン名の情報が外部に漏えいしたりする脆弱性(CVE-2018-5738)が、開発元のISCから発表されたことを受けたもの。

影響を受けるバージョンは以下の通り

・9.12系列:9.12.0~9.12.1-P2
・9.11系列:9.11.3
・9.10系列:9.10.7
・9.9系列:9.9.12

本脆弱性により、結果として当該サーバが外部からのDNSリフレクター攻撃の踏み台として悪用されたり、キャッシュを外部から覗かれることでドメイン名の利用状況や組織内のみで使っているドメイン名の情報が外部に漏えいしたりする可能性がある。ISCでは、本脆弱性を今後リリース予定のBIND 9.12.2/9.11.4/9.10.8/9.9.13で修正する旨を発表しており、先行パッチは <security-officer@isc.org> へのリクエストにより入手可能としている。なお、named.confにおいてallow-recursion、allow-query、allow-query-cacheのACLを適切に設定することで、本脆弱性を回避できる。

(吉澤 亨史)

最終更新:6/14(木) 8:00
ScanNetSecurity