公開日:2010/12/02 最終更新日:2011/03/28

JVNVU#510208
ISC BIND named の allow-query の処理における脆弱性

概要

Internet Systems Consortium (ISC) が提供する BIND には、allow-query のアクセスコントロールの処理に脆弱性が存在します。

影響を受けるシステム

  • 9.7.2-P2
ISC によると、9.6ESV-R2 は本脆弱性の影響をうけないとされています。

詳細情報

ISC から以下の脆弱性情報が公開されています。

When named is running as an authoritative server for a zone and receives a query for that zone data, it first checks for allow-query acls in the zone statement, then in that view, then in global options. If none of these exist, it defaults to allowing any query (allow-query {"any"};).
With this bug, if the allow-query is not set in the zone statement, it failed to check in view or global options and fell back to the default of allowing any query. This means that queries that the zone owner did not wish to allow were incorrectly allowed.

This bug doesn't affect allow-recursion or allow-query-cache acls, since they are not relevant to a zone for which the server is authoritative.

想定される影響

ACL が正しく適用されていないと、管理者が許可していないクエリが許可されてしまいます。

対策方法

アップデートする
この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョンに更新することで解決します。詳細については、ベンダや配布元が提供する情報を参照してください。
ISC によると、EOL バージョンに対するパッチの提供はないとのことです。

ベンダ情報

ベンダ ステータス ステータス
最終更新日
ベンダの告知ページ
富士ゼロックス株式会社 該当製品無し 2011/01/11
横河メータ&インスツルメンツ株式会社 該当製品無し 2010/12/03
横河電機株式会社 該当製品無し(調査中) 2010/12/13

参考情報

  1. US-CERT Vulnerability Note VU#510208
    ISC BIND named allow-query vulnerability
  2. JPRS
    BIND 9のallow-queryによるアクセス制限の不具合について

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2010-3615
JVN iPedia JVNDB-2010-002545

更新履歴

2010/12/03
想定される影響の誤植を修正しました。
2010/12/06
横河メータ&インスツルメンツ株式会社のベンダステータスが更新されました
2010/12/17
横河電機株式会社のベンダステータスが更新されました
2011/01/11
富士ゼロックス株式会社のベンダステータスが更新されました
2011/03/28
関連文書に JVN iPedia へのリンクを追加しました。