【注意喚起】BIND 9における複数の脆弱性について(2017.6.16更新)
BIND 9における複数の脆弱性について，一般社団法人日本ネットワークインフォメーションセンターより情報提供がありました.
BIND9 を利用しているネームサーバの管理者は脆弱性の内容を確認し，必要に応じて適切な処置をするようお願いします.
ネームサーバ管理者の方々へ
一般社団法人日本ネットワークインフォメーションセンター
BIND 9における複数の脆弱性について(2017年6月)
2017年6月14日(現地時間)、BIND 9の複数のバージョンに存在する脆弱性の情報がISC(Internet Systems Consortium)から公開されました。
これらの脆弱性は、BIND 9のサービス性能低下によるDoSと、Windows版におけるユーザー権限の上昇を引き起こす可能性があるというもので、キャッシュサーバおよび権威サーバに影響があります。
ご参考までに、アナウンスの原文へのリンクを以下に掲載します。管理者の皆さまにおかれましては、ネームサーバソフトウェアのご確認など適切な処置をお願いいたします。
□ CVE-2017-3140: RPZルール処理の不具合によってnamedが問い合わせの処理中無限ループになる
○ 概要
Response Policy Zones (RPZ)機能を有効にしており、かつ特定のルールタイプを使用している場合、問い合わせの処理中にnamedが無限ループを引き起こす可能性があります。無限ループになった場合、応答処理性能が低下したり外部の権威サーバへの問い合わせを繰り返し行う状態になったりします。攻撃者は繰り返し細工した問い合わせを行うことで、より一層の性能低下を引き起こすことができます。
この脆弱性が発生する可能性があるのは以下の条件を満たした場合です。
・サーバがRPZを使用するよう設定されている
・NSDNAMEまたはNSIPのポリシールールを使用している
・攻撃者がサーバに対して特定の問い合わせを送ることができる
○ 影響を受けるバージョン
9.9.10
9.10.5
9.11.0 - 9.11.1
9.9.10-S1
9.10.5-S1
○ 回避策
NSDNAMEおよびNSIPを使用しないルールを記述する。
○ 解決策
修正済みのバージョンに更新する。
○ 修正されたバージョン
9.9.10-P1
9.10.5-P1
9.11.1-P1
9.9.10-S2
9.10.5-S2
□ CVE-2017-3141: BINDのインストール時にWindowsサービスおよびアンインストールのパスがクオートされていない
○ 概要
Windows版BINDのインストーラがパスをクオートしていないため、特定ファイルを作成可能なローカルユーザーが自身の権限を昇格することができます。
○ 影響を受けるバージョン
Windows版のみ影響を受けます。その他のOSでは影響はありません。また、インストーラを使用せず手動でサービスのパスをクオートしてインストールした場合も影響はありません。
9.2.6-P2 - 9.2.9
9.3.2-P1 - 9.3.6
9.4.0 - 9.8.8
9.9.0 - 9.9.10
9.10.0 - 9.10.5
9.11.0 - 9.11.1
9.9.3-S1 - 9.9.10-S1
9.10.5-S1
○ 回避策
サービスが実行しようとするパスに実行ファイルが作成できないよう制限されている場合は本脆弱性を回避することができます。
○ 解決策
修正済みのバージョンに更新する。
○ 修正されたバージョン
9.9.9-P8
9.10.4-P8
9.11.0-P5
9.9.9-S10
9.9.10rc3
9.10.5rc3
9.11.1rc3
□ ISCからのアナウンス
CVE-2017-3140: An error processing RPZ rules can cause named to loop endlessly after handling a query
https://kb.isc.org/article/AA-01495/74/CVE-2017-3140%3A-An-error-processing-RPZ-rules-can-cause-named-to-loop-endlessly-after-handling-a-query.html
