「BIND 9.x」に意図しないアクセス許可の脆弱性、対応を呼びかけ(JPRS) | ScanNetSecurity
2019.12.09(月)

「BIND 9.x」に意図しないアクセス許可の脆弱性、対応を呼びかけ(JPRS)

JPRSは、「BIND 9.xの脆弱性(サービス提供者が意図しないアクセスの許可)について」を発表した。

脆弱性と脅威 セキュリティホール・脆弱性
株式会社日本レジストリサービス(JPRS)は6月13日、「BIND 9.xの脆弱性(サービス提供者が意図しないアクセスの許可)について」を発表した。これは、実装上の不具合により、提供者が意図しない形で外部からのアクセスが許可され、DoS攻撃の踏み台にされたり、キャッシュを外部から覗かれることでドメイン名の利用状況や組織内のみで使っているドメイン名の情報が外部に漏えいしたりする脆弱性(CVE-2018-5738)が、開発元のISCから発表されたことを受けたもの。

影響を受けるバージョンは以下の通り

・9.12系列:9.12.0~9.12.1-P2
・9.11系列:9.11.3
・9.10系列:9.10.7
・9.9系列:9.9.12

本脆弱性により、結果として当該サーバが外部からのDNSリフレクター攻撃の踏み台として悪用されたり、キャッシュを外部から覗かれることでドメイン名の利用状況や組織内のみで使っているドメイン名の情報が外部に漏えいしたりする可能性がある。ISCでは、本脆弱性を今後リリース予定のBIND 9.12.2/9.11.4/9.10.8/9.9.13で修正する旨を発表しており、先行パッチは へのリクエストにより入手可能としている。なお、named.confにおいてallow-recursion、allow-query、allow-query-cacheのACLを適切に設定することで、本脆弱性を回避できる。
《吉澤 亨史( Kouji Yoshizawa )》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★
★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事をすべて閲覧できます。毎週月曜朝には一週間のまとめメルマガをお届けします(BASIC 登録後 PREMIUM にアップグレードすれば全ての限定コンテンツにフルアクセスできます)。

×