JVN#40208370: XACK DNS におけるサービス運用妨害 (DoS) の脆弱性

XACK DNS には、サービス運用妨害 (DoS) の脆弱性が存在します。

次に挙げるバージョンに該当する XACK DNS のうち、キャッシュサーバー機能を使用している (フルリゾルバーの設定を行っている) システム

XACK DNS 1.11.0 から 1.11.4 まで
XACK DNS 1.10.0 から 1.10.8 まで
XACK DNS 1.8.0 から 1.8.23 まで
XACK DNS 1.7.0 から 1.7.18 まで
XACK DNS 1.7.0 より前の全てのバージョン

XACK DNS は株式会社 XACK が提供する DNS サーバー向けソフトウェアです。XACK DNS には、一般に NXNSAttack と呼称される問題に起因して、サービス運用妨害 (DoS) 攻撃が可能となる脆弱性が存在します。

遠隔の第三者によって、以下に示すようなサービス運用妨害 (DoS) 攻撃を受ける可能性があります。

当該フルリゾルバーの負荷を上昇させ、パフォーマンスを低下させる
当該フルリゾルバーを、リフレクション攻撃の踏み台として悪用する

アップデートする
開発者が提供する情報をもとに、以下のバージョンにアップデートしてください。

XACK DNS 1.11.5 以上
XACK DNS 1.10.9 以上
XACK DNS 1.8.24 以上
XACK DNS 1.7.19 以上

XACK DNS 1.6.x 以下をご使用の場合は、最新版にアップデートしてください。

上記バージョンにアップデートすることで、フルリゾルバーでの名前解決において、委任情報を処理するための権威 DNS サーバーへの問い合わせ回数を制限する設定項目 cache_ns_name_limit が新たに追加されます。

ワークアラウンドを実施する
バージョンアップが困難な場合は、次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。

設定項目 cache_recursion_limit の値を小さく設定する

開発者によると、この設定項目はルートやトップレベルドメインを含むすべてのドメインに対して有効ですが、あまりに小さく設定すると名前解決の成功率が下がる可能性があるとのことです。

ベンダ	リンク
株式会社 XACK	CVE-2020-8616 (NXNSAttack) について

Tel Aviv University
NXNSAttack
株式会社日本レジストリサービス (JPRS)
（緊急）BIND 9.xの脆弱性（パフォーマンスの低下・リフレクション攻撃の踏み台化）について（CVE-2020-8616） - バージョンアップを強く推奨 -

CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

基本値: 8.6

攻撃元区分(AV)	物理 (P)	ローカル (L)	隣接 (A)	ネットワーク (N)
攻撃条件の複雑さ(AC)	高 (H)	低 (L)
必要な特権レベル(PR)	高 (H)	低 (L)	不要 (N)
ユーザ関与レベル(UI)	要 (R)	不要 (N)
スコープ(S)	変更なし (U)	変更あり (C)
機密性への影響(C)	なし (N)	低 (L)	高 (H)
完全性への影響(I)	なし (N)	低 (L)	高 (H)
可用性への影響(A)	なし (N)	低 (L)	高 (H)

CVSS v2 AV:N/AC:L/Au:N/C:N/I:N/A:P

基本値: 5.0

攻撃元区分(AV)	ローカル (L)	隣接 (A)	ネットワーク (N)
攻撃条件の複雑さ(AC)	高 (H)	中 (M)	低 (L)
攻撃前の認証要否(Au)	複数 (M)	単一 (S)	不要 (N)
機密性への影響(C)	なし (N)	部分的 (P)	全面的 (C)
完全性への影響(I)	なし (N)	部分的 (P)	全面的 (C)
可用性への影響(A)	なし (N)	部分的 (P)	全面的 (C)

この脆弱性情報は、製品利用者への周知を目的に、開発者が IPA に報告し、JPCERT/CC が開発者との調整を行いました。

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE	CVE-2020-5591
JVN iPedia	JVNDB-2020-000036

JVN#40208370 XACK DNS におけるサービス運用妨害 (DoS) の脆弱性

JVN#40208370
XACK DNS におけるサービス運用妨害 (DoS) の脆弱性