JVNVU#137968
ISC BIND 9.8 系にサービス運用妨害 (DoS) の脆弱性

ISC BIND 9 には、特定の RPZ 設定を実装している場合においてサービス運用妨害 (DoS) の脆弱性が存在します。

• BIND 9.8.0, 9.8.0-P1, 9.8.0-P2, 9.8.1b1

ISC BIND 9.8 には、キャッシュ DNS サーバがクエリを受信したときに named プロセスが終了する、サービス運用妨害 (DoS) の脆弱性が存在します。
本脆弱性は、RPZ 機能を有効にした named において、RPZ のゾーンファイルに DNAME レコードおよび特定の CNAME レコードが含まれている場合に発生します。

ISC から、以下の脆弱性情報が公開されています。

"A defect in the affected versions of BIND could cause the "named" process to exit when queried, if the server has recursion enabled and was configured with an RPZ zone containing certain types of records. Specifically, these are any DNAME record and certain kinds of CNAME records.

The patch release of BIND 9.8.0-P4 alters the behavior of RPZ zones by ignoring any DNAME records in an RPZ zone, and correctly returning CNAME records from RPZ zones.

Note that DNAME has no defined effect on the RPZ engine and its presence in an RPZ zone is ignored. The definitive list of meaningful patterns in an RPZ zone is given in the BIND 9 Administrative Reference Manual and also in ISC Technical Note 2010-1."

遠隔の第三者によって、サービス運用妨害 (DoS) 攻撃を受ける可能性があります。

アップデートする
この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョンに更新することで解決します。詳細については、ベンダや配布元が提供する情報を参照してください。

ISC は、対策済みバージョン 9.8.0-P4 を提供しています。

ワークアラウンドを実施する
対策版を適用するまでの間、以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

• RPZ のゾーンファイルに DNAME レコードおよび CNAME レコードを含めない