Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

リゾルバの「BIND 9」にDoS攻撃受けるおそれ - アップデートや回避策が公開

「BIND 9」を「キャッシュDNSサーバ(リゾルバ)」として利用している場合に、DoS攻撃を受けるおそれがある脆弱性が明らかとなった。Internet Systems Consortium(ISC)や関係機関では注意を呼びかけている。

権威DNSサーバにおいてゾーンの委任が正しく行なわれていない「lame delegation」の状態において、再問い合わせを抑制するために標準で有効化されている機能「lame cache」において実装の不備「CVE-2021-25219」が明らかとなったもの。

脆弱性を悪用されると、「lame cache」の処理にリソースが消費されてパフォーマンスが低下し、他DNS応答に遅延が生じて、問い合わせたクライアント側でタイムアウトなどが発生するおそれがある。

同脆弱性は「同9.3.0」以降に存在しており、ISCでは共通脆弱性評価システム「CVSSv3.1」のベーススコアを「4.9」、重要度を4段階中3番目にあたる「中(Medium)」とした。アップデートをリリースした現地時間10月27日時点で脆弱性の悪用は確認されていないという。

ISCでは脆弱性を修正した「BIND 9.16.22」「同9.11.36」をリリースするとともに、「lame cache」を無効化する回避策をアナウンスした。無効化によるデメリットはほとんどないとしている。

脆弱性の公表を受けて日本レジストリサービス(JPRS)においても同脆弱性に関する注意喚起を実施。利用者に注意を呼びかけている。

(Security NEXT - 2021/11/01 ) このエントリーをはてなブックマークに追加

PR

関連記事

PDF生成に用いられるPHPライブラリに深刻な脆弱性
ビデオ会議「Zoom」のクライアントなどに脆弱性 - アップデートで修正
ArubaのNAC製品に深刻な脆弱性 - 任意のユーザーを作成可能に
「Outlook」にゼロデイ脆弱性、MSが悪用確認スクリプトを用意
3月公表の「FortiOS」脆弱性、判明のきっかけはゼロデイ攻撃
「Firefox 111」がリリース - 脆弱性13件を解消
「Adobe ColdFusion」にアップデート - ゼロデイ攻撃が発生、早急に対応を
MS、3月の月例パッチを公開 - ゼロデイ脆弱性2件など修正
「Microsoft Edge 111.0.1661.41」がリリース - 脆弱性21件を修正
「ForgeRock AM」のエージェントに深刻な脆弱性 - 早急に更新を