「BIND 9.x」に意図しないアクセス許可の脆弱性、対応を呼びかけ(JPRS) | ScanNetSecurity
2024.03.19(火)

「BIND 9.x」に意図しないアクセス許可の脆弱性、対応を呼びかけ(JPRS)

JPRSは、「BIND 9.xの脆弱性(サービス提供者が意図しないアクセスの許可)について」を発表した。

脆弱性と脅威 セキュリティホール・脆弱性
株式会社日本レジストリサービス(JPRS)は6月13日、「BIND 9.xの脆弱性(サービス提供者が意図しないアクセスの許可)について」を発表した。これは、実装上の不具合により、提供者が意図しない形で外部からのアクセスが許可され、DoS攻撃の踏み台にされたり、キャッシュを外部から覗かれることでドメイン名の利用状況や組織内のみで使っているドメイン名の情報が外部に漏えいしたりする脆弱性(CVE-2018-5738)が、開発元のISCから発表されたことを受けたもの。

影響を受けるバージョンは以下の通り

・9.12系列:9.12.0~9.12.1-P2
・9.11系列:9.11.3
・9.10系列:9.10.7
・9.9系列:9.9.12

本脆弱性により、結果として当該サーバが外部からのDNSリフレクター攻撃の踏み台として悪用されたり、キャッシュを外部から覗かれることでドメイン名の利用状況や組織内のみで使っているドメイン名の情報が外部に漏えいしたりする可能性がある。ISCでは、本脆弱性を今後リリース予定のBIND 9.12.2/9.11.4/9.10.8/9.9.13で修正する旨を発表しており、先行パッチは へのリクエストにより入手可能としている。なお、named.confにおいてallow-recursion、allow-query、allow-query-cacheのACLを適切に設定することで、本脆弱性を回避できる。
《吉澤 亨史( Kouji Yoshizawa )》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×