「BIND 9」にDoS攻撃を受ける脆弱性、ISCが修正バージョン公開

　Internet Systems Consortium（ISC）が開発・提供しているDNSソフト「BIND 9」にサービス運用妨害（DoS）の原因となる脆弱性があるとして、株式会社日本レジストリサービス（JPRS）と一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）が29日、注意喚起を出した。BIND 9の運用者に対して、修正済みバージョンの適用を検討するよう呼び掛けている。

　この脆弱性（CVE-2015-5477）は、TKEYレコードのクエリ処理エラーが原因で、遠隔からの攻撃によってnamedが異常終了する可能性があるというもの。権威DNSサーバー／キャッシュDNSサーバーともに影響を受ける。

　影響を受けるバージョンは、9.9系列では「9.9.7-P1」以前、9.10系列では「9.10.2-P2」以前のバージョン。ISCからは、それぞれ修正済みのバージョンとなる「9.9.7-P2」「9.10.2-P3」が公開されている。今後、各ディストリビューターなどからも修正済みのバージョンが提供される見込みだ。

　なお、すでにサポートが終了している9.1系列～9.8系列においても、この脆弱性の影響を受けるという。

　JPRSでは、ISCの公式ブログに掲載された追加情報も紹介している。それによると、この脆弱性は「設定や利用条件に限定されず、ほぼすべてのBINDが対象となること」「ファイアーウォールで問題のパケットをスクリーニングすることは困難、または不可能である可能性が高いこと」「本脆弱性のリバースエンジニアリングが難しくないこと」「既に、リバースエンジニアリングに成功したセキュリティ専門家から、攻撃キットの作成成功を伝えられていること」が記述されているとして、ISCが速やかなパッチの適用または修正済みバージョンの入手・更新を呼び掛けているとしている。