Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

リゾルバの「BIND 9」にDoS攻撃受けるおそれ - アップデートや回避策が公開

「BIND 9」を「キャッシュDNSサーバ(リゾルバ)」として利用している場合に、DoS攻撃を受けるおそれがある脆弱性が明らかとなった。Internet Systems Consortium(ISC)や関係機関では注意を呼びかけている。

権威DNSサーバにおいてゾーンの委任が正しく行なわれていない「lame delegation」の状態において、再問い合わせを抑制するために標準で有効化されている機能「lame cache」において実装の不備「CVE-2021-25219」が明らかとなったもの。

脆弱性を悪用されると、「lame cache」の処理にリソースが消費されてパフォーマンスが低下し、他DNS応答に遅延が生じて、問い合わせたクライアント側でタイムアウトなどが発生するおそれがある。

同脆弱性は「同9.3.0」以降に存在しており、ISCでは共通脆弱性評価システム「CVSSv3.1」のベーススコアを「4.9」、重要度を4段階中3番目にあたる「中(Medium)」とした。アップデートをリリースした現地時間10月27日時点で脆弱性の悪用は確認されていないという。

ISCでは脆弱性を修正した「BIND 9.16.22」「同9.11.36」をリリースするとともに、「lame cache」を無効化する回避策をアナウンスした。無効化によるデメリットはほとんどないとしている。

脆弱性の公表を受けて日本レジストリサービス(JPRS)においても同脆弱性に関する注意喚起を実施。利用者に注意を呼びかけている。

(Security NEXT - 2021/11/01 ) このエントリーをはてなブックマークに追加

PR

関連記事

「PAN-OS」に対するゼロデイ攻撃、国内被害は未確認
「PAN-OS」を狙う「Operation MidnightEclipse」 - 3月下旬より展開
Palo Alto Networksの「PAN-OS」にゼロデイ脆弱性 - パッチを準備中
Fortinet、アドバイザリ13件を公開 - 複数製品の脆弱性を修正
「Rust」によるWindowsバッチ処理に脆弱性 - アップデートが公開
Juniper Networks、セキュリティアドバイザリ36件を公開 - 「クリティカル」も
「PAN-OS」に関する脆弱性7件を修正 - Palo Alto Networks
「OpenSSL」にサービス拒否の脆弱性 - 次期更新で修正予定
「Node.js」にコマンドインジェクションの脆弱性 - Windows環境に影響
「Chrome」に3件の脆弱性 - アップデートが公開