リゾルバの「BIND 9」にDoS攻撃受けるおそれ - アップデートや回避策が公開

「BIND 9」を「キャッシュDNSサーバ（リゾルバ）」として利用している場合に、DoS攻撃を受けるおそれがある脆弱性が明らかとなった。Internet Systems Consortium（ISC）や関係機関では注意を呼びかけている。

権威DNSサーバにおいてゾーンの委任が正しく行なわれていない「lame delegation」の状態において、再問い合わせを抑制するために標準で有効化されている機能「lame cache」において実装の不備「CVE-2021-25219」が明らかとなったもの。

脆弱性を悪用されると、「lame cache」の処理にリソースが消費されてパフォーマンスが低下し、他DNS応答に遅延が生じて、問い合わせたクライアント側でタイムアウトなどが発生するおそれがある。

同脆弱性は「同9.3.0」以降に存在しており、ISCでは共通脆弱性評価システム「CVSSv3.1」のベーススコアを「4.9」、重要度を4段階中3番目にあたる「中（Medium）」とした。アップデートをリリースした現地時間10月27日時点で脆弱性の悪用は確認されていないという。

ISCでは脆弱性を修正した「BIND 9.16.22」「同9.11.36」をリリースするとともに、「lame cache」を無効化する回避策をアナウンスした。無効化によるデメリットはほとんどないとしている。

脆弱性の公表を受けて日本レジストリサービス（JPRS）においても同脆弱性に関する注意喚起を実施。利用者に注意を呼びかけている。

（Security NEXT - 2021/11/01 ）ツイート