「BIND 9」に危険度の高い脆弱性、修正バージョンへの更新が必要

　DNSソフトウェア「BIND 9」に外部からのサービス不能（DoS）攻撃が可能となる脆弱性が発見されたとして、開発元のISC（Internet Systems Consortium）が4日、情報を公開するとともに脆弱性を修正したバージョンの提供を開始した。

　脆弱性の内容は、特定バージョンのBIND 9に名前解決の処理に不具合があり、特別に細工された異常なゾーンの特定のリソースレコードに対する問い合わせにより、namedがRUNTIME_CHECKエラーを引き起こし、異常終了する障害が発生するもの。この脆弱性により、DNSサービスの停止が発生する可能性があり、攻撃はリモートから可能。

　脆弱性の影響を受けるバージョンは、9.9.3、9.8.5、9.6-ESV-R9。その他のバージョンのBIND 9およびBIND 10は影響を受けない。

　ISCでは、対象バージョンのBINDを利用している場合の対策として、BIND 9.9.3-P1、9.8.5-P1、9.6-ESV-R9-P1へのアップデートか、各ディストリビューションベンダーからリリースされるパッチを適用することを挙げている。

　ISCでは、この脆弱性は影響が大きく、障害発生時の具体的なトレース情報が公開のメーリングリスト上に流されているとして、脆弱性について通常の公開プロセスを経ることなく、当初から一般公開を実施している。また、その理由としては、公開された情報のリバースエンジニアリングによる攻撃発生の危険性を指摘している。