公開日:2019/02/22 最終更新日:2019/02/22

JVNVU#92881878
ISC BIND 9 に複数の脆弱性

概要

ISC BIND 9 には、複数の脆弱性が存在します。

影響を受けるシステム

CVE-2018-5744

  • BIND 9.10.7 から 9.10.8-P1 まで
  • BIND 9.11.3 から 9.11.5-P1 まで
  • BIND 9.12.0 から 9.12.3-P1 まで
  • BIND 9.10.7-S1 から 9.11.5-S3 まで
  • BIND 9.13.0 から 9.13.6 まで

CVE-2018-5745, CVE-2019-6465
  • BIND 9.9.0 から 9.10.8-P1 まで
  • BIND 9.11.0 から 9.11.5-P1 まで
  • BIND 9.12.0 から 9.12.3-P1 まで
  • BIND 9.9.3-S1 から 9.11.5-S3 まで
  • BIND 9.13.0 から 9.13.6 まで
開発者によると、CVE-2018-5745 と CVE-2019-6465 について、BIND 9.9.0 より前のバージョンに対する脆弱性評価は行われていないとのことです。

詳細情報

ISC BIND 9 には、次の複数の脆弱性が存在します。

  • 特別に細工されたパケットを処理した場合に、named がメモリリークを引き起こす - CVE-2018-5744
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値: 7.5
    CVSS v2 AV:N/AC:L/Au:N/C:N/I:N/A:P 基本値: 5.0
  • managed-keys 機能を設定してリゾルバとして使用している named において、トラストアンカーの鍵が、リゾルバがサポートしていないアルゴリズムを使用する鍵に交換された場合に、assertion failure が発生する - CVE-2018-5745
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H 基本値: 4.9
    CVSS v2 AV:N/AC:L/Au:S/C:N/I:N/A:P 基本値: 4.0
  • 書き込み可能な DLZ (Dynamically Loadable Zone) において、ゾーン転送の制限が有効にならない - CVE-2019-6465
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 基本値: 5.3
    CVSS v2 AV:N/AC:L/Au:N/C:P/I:N/A:N 基本値: 5.0

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • サービス運用妨害 (DoS) - CVE-2018-5744, CVE-2018-5745
  • 許可していない相手への DLZ ゾーン転送 - CVE-2019-6465

対策方法

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

  • BIND 9.11.5-P4
  • BIND 9.12.3-P4
  • BIND 9.11.5-S5

参考情報

  1. 株式会社日本レジストリサービス(JPRS)
    (緊急)BIND 9.xの脆弱性(メモリリークの発生)について(CVE-2018-5744)
  2. 株式会社日本レジストリサービス(JPRS)
    BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2018-5745)
  3. 株式会社日本レジストリサービス(JPRS)
    BIND 9.xの脆弱性(アクセス制限の不具合によるゾーンデータの流出)について(CVE-2019-6465)
  4. 一般社団法人日本ネットワークインフォメーションセンター (JPNIC)
    BIND 9における複数の脆弱性について(2019年2月)

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告 JPCERT-AT-2019-0009
ISC BIND 9 に対する複数の脆弱性 (CVE-2018-5744, CVE-2018-5745, CVE-2019-6465) に関する注意喚起
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2018-5744
CVE-2018-5745
CVE-2019-6465
JVN iPedia

更新履歴

2019/02/22
[ベンダ情報] のリンクを修正しました
2019/02/22
[参考情報] にリンクを追加し、[関連文書] に JPCERT/CC 注意喚起を追加しました
2019/02/22
[参考情報] にリンクを追加しました