BIND 9.xに2つの脆弱性、アップデートを呼びかけ（JPRS、JVN）

JPRSは、「BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2019-6476）」の注意喚起を発表した。IPAおよびJPCERT/CCも、「ISC BIND 9 における複数の脆弱性」を発表している。

脆弱性と脅威

2019.10.18 Fri 8:00

株式会社日本レジストリサービス（JPRS）は10月17日、「BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2019-6476）」の注意喚起を発表した。独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）も同日、「ISC BIND 9 における複数の脆弱性」を発表している。これは、開発元であるISCから脆弱性情報が発表されたもので、ISCでは本脆弱性の深刻度（Severity）を「中（Medium）」と評価している。

「BIND 9.14.0 から 9.14.6」には、「mirror zone データの検証不備（CVE-2019-6475）」および「QNAME minimization 処理の不備によるサービス停止（CVE-2019-6476）」の脆弱性が存在する。これらの脆弱性が悪用されると、遠隔の第三者によって、偽のゾーンデータを named に挿入される（CVE-2019-6475）、遠隔の第三者によって、named が停止される（CVE-2019-6476）といった影響を受ける可能性がある。

JVNでは対策方法として、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。なお、最新版は「BIND 9.14.7」および「BIND 9.15.5 （開発版）」となる。

《吉澤亨史（ Kouji Yoshizawa ）》