公開日:2023/01/26 最終更新日:2023/01/26

JVNVU#98318144
ISC BINDにおける複数の脆弱性

概要

ISC(Internet Systems Consortium)が提供するISC BINDには、複数の脆弱性が存在します。

影響を受けるシステム

CVE-2022-3094

  • BIND 9.16.0から9.16.36
  • BIND 9.18.0から9.18.10
  • BIND 9.19.0 から9.19.8
  • BIND 9.16.8-S1から9.16.36-S1(BIND Supported Preview Edition)
開発者によると、BIND 9.11.37およびBIND 9.11.37-S1より前のバージョンはメモリの制約ではなく内部リソースの枯渇によるもので、ほとんどのサーバーでは重大な問題につながらないと判断し、対処しないとのことです。

CVE-2022-3488
  • BIND 9.11.4-S1から9.11.37-S1(BIND Supported Preview Edition)
  • BIND 9.16.8-S1から9.16.36-S1(BIND Supported Preview Edition)

CVE-2022-3736、CVE-2022-3924
  • BIND 9.16.12から9.16.36
  • BIND 9.18.0から9.18.10
  • BIND 9.19.0 から9.19.8
  • BIND 9.16.12-S1から9.16.36-S1(BIND Supported Preview Edition)
CVE-2022-3736はリゾルバでstale cacheとstale answersが有効、かつstale-answer-client-timeoutが正の整数に設定されている場合、CVE-2022-3924はリゾルバでstale-answer-enableが有効、かつstale-answer-client-timeoutが正の整数に設定されている場合に影響を受けます。

詳細情報

ISC(Internet Systems Consortium)が提供するISC BINDには、次の複数の脆弱性が存在します。

  • 大量のUPDATEメッセージにより、namedが使用可能なメモリが枯渇する - CVE-2022-3094
  • 反復問い合わせへの繰り返し応答でECSオプションを処理するとnamedが予期せず終了する - CVE-2022-3488
  • 古いキャッシュから応答するように構成されたnamedが、RRSIGクエリの処理中に予期せず終了する - CVE-2022-3736
  • 古いキャッシュから応答するように構成されたnamedが、再帰問い合わせのソフトクォータによって予期せず終了する - CVE-2022-3924

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • サーバにUPDATE要求を大量に送信することにより、そのサーバで使用可能なすべてのメモリを使い果たされる - CVE-2022-3094
  • 悪意のあるネームサーバからCLIENT-SUBNET疑似オプションを持つ不正な応答を返答され、応答を処理することでnamedを終了させられる - CVE-2022-3488
  • 特定のクエリをリゾルバに送信されることで、namedをクラッシュさせられる - CVE-2022-3736、CVE-2022-3924

対策方法

アップデートする
開発者が提供する以下のパッチバージョンにアップデートしてください。
CVE-2022-3094、CVE-2022-3736、CVE-2022-3924

  • BIND 9.16.37
  • BIND 9.18.11
  • BIND 9.19.9
  • BIND 9.16.37-S1(BIND Supported Preview Edition)
CVE-2022-3488
  • BIND 9.16.37-S1(BIND Supported Preview Edition)
ワークアラウンドを実施する
CVE-2022-3736、CVE-2022-3924
  • stale-answer-client-timeoutを0またはoff/disabledに設定する

参考情報

  1. JPCERT/CC CyberNewsFlash 2023-01-26
    ISC BIND 9における複数の脆弱性について(2023年1月)
  2. 株式会社日本レジストリサービス(JPRS)
    (緊急)BIND 9.xの脆弱性(メモリ不足の発生)について(CVE-2022-3094)- バージョンアップを強く推奨 -
  3. 株式会社日本レジストリサービス(JPRS)
    (緊急)BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2022-3736)- バージョンアップを強く推奨 -
  4. 株式会社日本レジストリサービス(JPRS)
    (緊急)BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2022-3924)- バージョンアップを強く推奨 -

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia