2013年7月29日

ネームサーバ管理者の方々へ

一般社団法人日本ネットワークインフォメーションセンター

ISC BIND 9に関する脆弱性について(2013年7月)

2013年7月26日(現地時間)、 BIND9の複数のバージョンに存在する脆弱性の情報がISC (Internet Systems Consortium)から公開されました。

本脆弱性は、細工されたクエリを受け取ったBINDがクラッシュするものです。 ISCによる深刻度は「重大(Critical)」とされており、この問題について、現在、ISCから修正版が公開されています。また、すでに複数の組織に対して本脆弱性を用いた攻撃が行われたとの報告があります。

ご参考までに、アナウンスの原文へのリンクを以下に掲載します。管理者の皆様におかれましては、ネームサーバソフトウェアのご確認など適切な処置をお願いいたします。

記

ISCによって公開された脆弱性情報

不正なRDATAを含んだ細工されたクエリを受け取ったnamedが、そのクエリを拒否する際に例外処理で停止します。

この脆弱性は、権威サーバおよびキャッシュサーバの双方に影響があります。また、アクセスコントロールリストを用いても、悪意のあるクライアントからの攻撃は防ぐことができません。

namedに加えて、影響のあるバージョンのライブラリを利用しているアプリケーションにおいても、同様にクラッシュする可能性があります。

BIND 9.6-ESVは本脆弱性の影響を受けません。 9.6-ESV以外のBIND9.6、およびそれ以前のバージョンも影響を受けないと考えられていますが、確認はされていません。BIND 10は影響を受けません。

なお、9.7.x にも本脆弱性が存在しますが、すでに"end of life"となっており、修正の対象になっていません。

参考：BIND 9の各バージョンごとの脆弱性対象を整理したページ"BIND 9 Security Vulnerability Matrix"

ISCの複数の顧客からクラッシュしたとの報告があります。最初に観測されたのは2013年7月26日です。

修正済みのバージョンに更新する。

以上