「BIND 9」に4件のDoS脆弱性、うち3件は全バージョンが対象

　Internet Systems Consortium（ISC）が開発・提供するDNSソフト「BIND 9」において、いずれも実装上の不具合により、namedに対する外部からのサービス運用妨害（DoS）攻撃が可能となる4件の脆弱性が存在するとして、一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）や株式会社日本レジストリサービス（JPRS）が12日、注意喚起を出した。

　この脆弱性を修正したバージョン「9.11.0-P2」「9.10.4-P5」「9.9.9-P5」がISCから11日にリリースされており、BIND 9の運用者に対して、これら修正済みバージョンへの更新または各ディストリビューションベンダーからリリースされる更新の適用を速やかに実施するよう推奨している。

　4件の脆弱性のうち、「CVE-2016-9131」および「CVE-2016-9444」は、namedに対する外部からのDoS攻撃により、意図しないサービス停止が発生する可能性がある。いずれもフルリゾルバー（キャッシュDNSサーバー）の機能が有効にされている環境のみ影響を受ける。

　これ以外でも、「9.8.5」～「9.8.8」のほか、前者が「9.4.0」～「9.6-ESV-R11-W1」、後者が「9.6-ESV-R9」～「9.6-ESV-R11-W1」が影響を受けるが、ISCでは9.8以前の系列のBIND 9のサポートを終了しており、これらに対するセキュリティパッチはリリースされない。

　「CVE-2016-9147」は、DNSSEC検証に関する処理の不具合により、namedに対する外部からのDoS攻撃が可能となる。矛盾するDNSSEC関連のRRSetを含む応答を受け取った際の内部処理において、namedが異常終了を起こす障害が発生する。フルリゾルバー（キャッシュDNSサーバー）の機能が有効にされている環境のみ影響を受け、DNSSEC検証機能が無効化されていても影響を受ける。

　「CVE-2016-9778」は、「nxdomain-redirect」オプションが指定されている環境のみ影響を受けるもので、nxdomain-redirectオプションにより、自身が権威を持つゾーンが指定されていた場合、本機能に該当する問い合わせを処理する際にnamedが異常終了を起こす障害が発生するもの。影響を受けるのは9.11系列のみ。

　ISCでは4件の脆弱性について、深刻度を「高（High）」と評価。いずれも共通脆弱性評価システムCVSS v3のスコアは7.5。