「BIND 9.x」に意図しないアクセス許可の脆弱性、対応を呼びかけ（JPRS）

JPRSは、「BIND 9.xの脆弱性（サービス提供者が意図しないアクセスの許可）について」を発表した。

脆弱性と脅威

2018.6.14 Thu 8:00

株式会社日本レジストリサービス（JPRS）は6月13日、「BIND 9.xの脆弱性（サービス提供者が意図しないアクセスの許可）について」を発表した。これは、実装上の不具合により、提供者が意図しない形で外部からのアクセスが許可され、DoS攻撃の踏み台にされたり、キャッシュを外部から覗かれることでドメイン名の利用状況や組織内のみで使っているドメイン名の情報が外部に漏えいしたりする脆弱性（CVE-2018-5738）が、開発元のISCから発表されたことを受けたもの。

影響を受けるバージョンは以下の通り

・9.12系列：9.12.0～9.12.1-P2
・9.11系列：9.11.3
・9.10系列：9.10.7
・9.9系列：9.9.12

本脆弱性により、結果として当該サーバが外部からのDNSリフレクター攻撃の踏み台として悪用されたり、キャッシュを外部から覗かれることでドメイン名の利用状況や組織内のみで使っているドメイン名の情報が外部に漏えいしたりする可能性がある。ISCでは、本脆弱性を今後リリース予定のBIND 9.12.2/9.11.4/9.10.8/9.9.13で修正する旨を発表しており、先行パッチはへのリクエストにより入手可能としている。なお、named.confにおいてallow-recursion、allow-query、allow-query-cacheのACLを適切に設定することで、本脆弱性を回避できる。