Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

リゾルバの「BIND 9」にDoS攻撃受けるおそれ - アップデートや回避策が公開

「BIND 9」を「キャッシュDNSサーバ(リゾルバ)」として利用している場合に、DoS攻撃を受けるおそれがある脆弱性が明らかとなった。Internet Systems Consortium(ISC)や関係機関では注意を呼びかけている。

権威DNSサーバにおいてゾーンの委任が正しく行なわれていない「lame delegation」の状態において、再問い合わせを抑制するために標準で有効化されている機能「lame cache」において実装の不備「CVE-2021-25219」が明らかとなったもの。

脆弱性を悪用されると、「lame cache」の処理にリソースが消費されてパフォーマンスが低下し、他DNS応答に遅延が生じて、問い合わせたクライアント側でタイムアウトなどが発生するおそれがある。

同脆弱性は「同9.3.0」以降に存在しており、ISCでは共通脆弱性評価システム「CVSSv3.1」のベーススコアを「4.9」、重要度を4段階中3番目にあたる「中(Medium)」とした。アップデートをリリースした現地時間10月27日時点で脆弱性の悪用は確認されていないという。

ISCでは脆弱性を修正した「BIND 9.16.22」「同9.11.36」をリリースするとともに、「lame cache」を無効化する回避策をアナウンスした。無効化によるデメリットはほとんどないとしている。

脆弱性の公表を受けて日本レジストリサービス(JPRS)においても同脆弱性に関する注意喚起を実施。利用者に注意を呼びかけている。

(Security NEXT - 2021/11/01 ) このエントリーをはてなブックマークに追加

PR

関連記事

Adobe製フォーム作成管理ツールに悪用リスク高い脆弱性
「Adobe ColdFusion」に深刻な脆弱性 - 緊急アップデートを
MS、7月の月例セキュリティパッチを公開 - 前月の約2倍
「Citrix CVAD」「Citrix DaaS」に脆弱性 - 「VDA」の更新呼びかけ
「FortiWeb」に認証不要でコマンド実行が可能となるSQLi脆弱性
「OpenSSL 3.5.1」がリリース - コピペミス起因脆弱性を解消
「FortiOS」に脆弱性 - アドバイザリ3件を公開
米当局、2019年以前の既知脆弱性4件を悪用リストに追加
FTPサーバ「WingFTP」に深刻な脆弱性 - アップデートで修正
トレンドマイクロ製パスワード管理ツールに複数の脆弱性