【注意喚起】BIND 9.12における動作停止となる二つの脆弱性について(2018.5.22更新)
BIND 9.12における動作停止となる二つの脆弱性について，JPCERT/CC より以下のとおり注意喚起がございましたので，お知らせいたします.
つきましては，BIND 9.12 を利用しているネームサーバの管理者は速やかに脆弱性が修正されたバージョンへ更新するようお願いいたします.
------------------------------------------------------------------------ 2018年5月21日 ネームサーバ管理者の方々へ 一般社団法人日本ネットワークインフォメーションセンター BIND 9.12における動作停止となる二つの脆弱性について(2018年5月) 2018年5月18日(現地時間)、BIND 9.12.0および9.12.1に存在する脆弱性の情報 がISC (Internet Systems Consortium)から公開されました。 脆弱性の一つ目は、短時間の間にゾーン転送を連続で行うと例外が発生し namedが停止する可能性があるというものです。 脆弱性の二つ目は、BIND 9.12で新しく実装されたserve-stale機能に不具合が あり、機能の有効・無効にかかわらず、状況によってはnamedが予期しない動 作をしたり停止したりするものです。なおこの脆弱性は、max-stale-ttlパラ メータを0に設定することで回避できます。 いずれの脆弱性もバージョン9.12.0 と 9.12.1 が対象であり、他の9.9、9.10、 9.11などのバージョンは影響ありません。 この脆弱性は新しくリリースされた BIND 9.12.1-P2 で修正されています。 ご参考までに、アナウンスの原文へのリンクを以下に掲載します。管理者の 皆さまにおかれましては、ネームサーバソフトウェアのご確認など適切な処 置をお願いいたします。 記 □ ISCからのアナウンス CVE-2018-5736: Multiple transfers of a zone in quick succession can cause an assertion failure in rbtdb.c https://kb.isc.org/article/AA-01602/74/CVE-2018-5736 CVE-2018-5737: BIND 9.12's serve-stale implementation can cause an assertion failure in rbtdb.c or other undesirable behavior, even if serve-stale is not enabled. https://kb.isc.org/article/AA-01606/74/CVE-2018-5737 □ 脆弱性が修正されたバージョンのダウンロードページ https://www.isc.org/downloads □ 参考 * CVE http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-5736 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-5737 * JPRS ■BIND 9.12.xの脆弱性（DNSサービスの停止）について（CVE-2018-5736） https://jprs.jp/tech/security/2018-05-21-bind9-vuln-zonedb.html ■BIND 9.12.xの脆弱性（サービス性能の劣化及びDNSサービスの停止） について（CVE-2018-5737） https://jprs.jp/tech/security/2018-05-21-bind9-vuln-servestale.html
