JVNVU#360341
BIND 9 の DNSSEC 検証コードに脆弱性

BIND 9 に含まれている DNSSEC の検証コードに脆弱性が存在します。

• BIND 9.0.x
• BIND 9.1.x
• BIND 9.2.x
• BIND 9.3.x
• BIND 9.4.0 から 9.4.3-P4 まで
• BIND 9.5.0 から 9.5.2-P1 まで
• BIND 9.6.0 から 9.6.1-P2 まで

BIND 9 に含まれている DNSSEC の検証コードに脆弱性が存在します。実際に存在するレコードに対し、不正な NXDOMAIN レスポンスを返すように仕向けることが可能です。ISC によると

There was an error in the DNSSEC NSEC/NSEC3 validation code that could cause bogus NXDOMAIN responses (that is, NXDOMAIN responses for records proven by NSEC or NSEC3 to exist) to be cached as if they had validated correctly, so that future queries to the resolver would return the bogus NXDOMAIN with the AD flag set.

遠隔の第三者によって、不正な NXDOMAIN レコードをキャッシュに追加される可能性があります。

パッチを適用する
影響を受けるシステムを利用している場合は、 ISC (9.4.3-P5、9.5.2-P2、9.6.1-P3) もしくは、各ベンダから提供されるパッチを適用してください。