公開日：2002/11/18　最終更新日：2002/11/18

JVNCA-2002-31
BIND に複数の脆弱性

概要


Internet Software Consortium(ISC) が提供している、Berkeley Internet Name Domain (BIND) の BIND 4.x, BIND 8.x には、DNS サーバと DNS リゾルバに影響を与える複数の脆弱性があります。
最も深刻な脆弱性については、遠隔から任意のコードを実行される可能性があります。

影響を受けるシステム

詳細情報

想定される影響


サービス運用妨害 (denial-of-service, DoS) 攻撃を受けたり、遠隔から第三者が脆弱な DNS サーバプログラムのプロセス権限や、脆弱な DNS リゾルバを利用しているアプリケーションプログラムのプロセス権限を取得する可能性があります。

対策方法

ベンダ情報

ベンダ リンク
アップル Security Update 2002-11-21
Debian bind -- several
FreeBSD BIND におけるセキュリティ上の弱点
富士通 CA-2002-31に対する富士通の情報
富士通 CA-2002-31に対するSolaris OEの情報
Hewlett-Packard SSRT2408 Bindにおけるセキュリティ脆弱性
Internet Software Consortium http://www.isc.org/products/BIND/
NetBSD
NetBSD
OpenBSD セキュリティのための修正: 2002 年 11 月 14 日
Red Hat BINDパッケージのアップデート
Red Hat bindパッケージのアップデート
SGI
サン・マイクロシステムズ Security vulnerabilities in BIND and libresolv (CERT CA-2002-31)
Turbolinux Japan bind: 3つのセキュリティ上の問題
Vine Linux bind にセキュリティホール

参考情報

  1. CERT Vulnerability Note VU#852283
    Cached malformed SIG record buffer overflow
  2. CERT Vulnerability Note VU#229595
    Overly large OPT record assertion
  3. CERT Vulnerability Note VU#581682
    ISC BIND 8 fails to properly dereference cache SIG RR elements with invalid expiry times from the internal database
  4. CERT Vulnerability Note VU#844360
    Domain Name System (DNS) stub resolver libraries vulnerable to buffer overflows via network name or address lookups
  5. CIAC Bulletin N-013
    ISC Remote Vulnerabilities in BIND4 and BIND8
  6. Internet Security Systems
    BIND4 および BIND8 でのリモートで利用可能な複数の脆弱点
  7. V-STAF: bind-sig-rr-bo (10304)
    ISC BIND SIG キャッシュされた resource records (RR)が起こすヒープバッファオーバフロー
  8. V-STAF: bind-opt-rr-dos (10332)
    ISC BIND OPT リソースレコード (RR) によるサービス妨害
  9. V-STAF: bind-null-dereference-dos (10333)
    ISC BIND SIG null ポインタ間接参照によるサービス妨害
  10. V-STAF: bind-dns-libresolv-bo (10624)
    ISC BIND DNS スタブリゾルバライブラリ(libresolv.a)のスタックバッファオーバーフロー
  11. LAC
    CERT Advisory CA-2002-31 Multiple Vulnerabilities in BIND [翻訳版]

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT JPCERT-WR-2002-4501
JPCERT/CC REPORT 2002-11-20
JPCERT-WR-2002-4801
JPCERT/CC REPORT 2002-12-11
JPCERT-WR-2002-5001
JPCERT/CC REPORT 2002-12-26
CERT Advisory CERT Advisory CA-2002-31
Multiple Vulnerabilities in BIND
CPNI Advisory
TRnotes
CVE CAN-2002-0029
VU#844360,XF10624
CAN-2002-1219
VU#852283,XF10304
CAN-2002-1220
VU#229595,XF10332
CAN-2002-1221
VU#581682,XF10333
JVN iPedia