公開日:2017/06/30 最終更新日:2017/07/10

JVNVU#99015104
ISC BIND に複数の脆弱性

概要

ISC BIND には、TSIG 認証に関する複数の脆弱性が存在します。

影響を受けるシステム

  • BIND 9.4.0 から 9.8.8 まで
  • BIND 9.9.0 から 9.9.10-P1 まで
  • BIND 9.10.0 から 9.10.5-P1 まで
  • BIND 9.11.0 から 9.11.1-P1 まで
  • BIND 9.9.3-S1 から 9.9.10-S2 まで
  • BIND 9.10.5-S1 から 9.10.5-S2 まで

詳細情報

ISC BIND には、次の複数の脆弱性が存在します。

  • TSIG 認証回避による認可されていないゾーン転送 - CVE-2017-3142
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 基本値: 5.3
  • TSIG 認証回避による認可されていないダイナミックアップデート - CVE-2017-3143
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N 基本値: 7.5

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • ゾーン情報の漏えい - CVE-2017-3142
  • ゾーン情報の書き換え - CVE-2017-3143

対策方法

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

  • BIND 9.9.10-P2
  • BIND 9.10.5-P2
  • BIND 9.11.1-P2
  • BIND 9.9.10-S3
  • BIND 9.10.5-S3

ベンダ情報

ベンダ ステータス ステータス
最終更新日
ベンダの告知ページ
ジェイティ エンジニアリング株式会社 該当製品無し 2017/07/07
横河メータ&インスツルメンツ株式会社 該当製品無し 2017/06/30

参考情報

  1. 株式会社日本レジストリサービス(JPRS)
    BIND 9.xの脆弱性(TSIG認証の迂回によるゾーンデータの流出)について(CVE-2017-3142)
  2. 株式会社日本レジストリサービス(JPRS)
    (緊急)BIND 9.xの脆弱性(TSIG認証の迂回によるゾーンデータの操作)について(CVE-2017-3143)

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告 JPCERT-AT-2017-0024
ISC BIND 9 の脆弱性に関する注意喚起
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2017-3142
CVE-2017-3143
JVN iPedia

更新履歴

2017/07/03
横河メータ&インスツルメンツ株式会社のベンダステータスが更新されました
2017/07/10
ジェイティ エンジニアリング株式会社のベンダステータスが更新されました