「BIND 9」にサービス拒否の脆弱性 - アップデートが公開

Internet Systems Consortium（ISC）が提供する「BIND 9」に複数の脆弱性が明らかとなった。アップデートが提供されており、関連機関は利用者にアップデートを呼びかけている。

リゾルバが再帰リクエストを必要とする多くのクエリを受け取るとアサーションエラーが生じ、予期せず終了するおそれがある「CVE-2022-3924」が判明したもの。

さらに期限切れのキャッシュデータを参照するよう設定している場合に「RRSIGクエリ」の処理においてクラッシュするおそれがある「CVE-2022-3736」や、「Dynamic Update」を有効化している場合にメモリが枯渇するおそれがある脆弱性「CVE-2022-3094」が存在する。

脆弱性の原因となっている機能は、いずれもデフォルトで無効となっているが、有効化している場合に影響があり、リモートより悪用されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.5」、ISCでは重要度を「高（High）」とレーティングしている。悪用の報告はないという。

（Security NEXT - 2023/01/26 ）ツイート