公開日：2020/08/21　最終更新日：2020/08/21

JVNVU#98069467
ISC BIND 9 に複数の脆弱性

概要

ISC (Internet Systems Consortium) が提供する BIND には、複数の脆弱性が存在します。

影響を受けるシステム

対象となる製品とバージョンは次のとおりです。
  • CVE-2020-8620
    • BIND 9.16系 9.16.0 から 9.16.5 まで
  • CVE-2020-8621
    • BIND 9.16系 9.16.0 から 9.16.5 まで
    • BIND 9.14系 9.14.0 から 9.14.12 まで
  • CVE-2020-8622
    •  BIND 9.16系 9.16.0 から 9.16.5 まで
    •  BIND 9.14系 9.14.0 から 9.14.12 まで
    •  BIND 9.11系 9.11.3 から  9.11.21 まで
    •  BIND 9 Supported Preview Edition 9.9.3-S1 から 9.11.21-S1 まで
  • CVE-2020-8623
    • BIND 9.16系 9.16.0 から 9.16.5 まで
    • BIND 9.14系 9.14.0 から 9.14.12 まで
    • BIND 9.11系 9.11.3 から  9.11.21 まで
    • BIND 9 Supported Preview Edition 9.10.5-S1 から 9.11.21-S1 まで
  • CVE-2020-8624
    • BIND 9.16系 9.16.0 から 9.16.5 まで
    • BIND 9.14系 9.14.0 から 9.14.12 まで
    • BIND 9.11系 9.11.3 から  9.11.21 まで
    • BIND 9 Supported Preview Edition 9.9.12-S1 から 9.9.13-S1 まで
    • BIND 9 Supported Preview Edition 9.11.3-S1 から 9.11.21-S1 まで

なお ISC によると、既にサポートが終了している BIND 9.10系以前や 9.12系、9.13系、9.15系および開発版の 9.17系についても影響を受ける脆弱性があるとのことです。詳細については各アドバイザリを参照してください。

詳細情報

ISC (Internet Systems Consortium) が提供する BIND には、複数の脆弱性が存在します。
  • 最大バッファサイズの不適切な設定による tcpdns.c でアサーションエラーが発生する - CVE-2020-8620
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値: 7.5
  • QNAME minimisation の意図しない許可により resolver.c でアサーションエラーが発生する - CVE-2020-8621
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値: 7.5
  • 切り詰められた TSIG レスポンスの確認不備によりアサーションエラーが発生する - CVE-2020-8622
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H  基本値: 6.5
  • pk11.c でアサーションエラーが発生する - CVE-2020-8623
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値: 7.5
  • "update-policy" ルールの "subdomain" タイプの誤った判定によるアクセス制限の不備 - CVE-2020-8624
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N  基本値: 4.3

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受けるおそれがあります。
  • 遠隔の第三者が、特別に細工された大きな TCP ペイロードを送信することにより、サービス運用妨害 (DoS) 攻撃が行われる - CVE-2020-8620
  • 遠隔の第三者が、細工されたクエリを送信することにより、サービス運用妨害 (DoS) 攻撃が行われる - CVE-2020-8621
  • 遠隔の第三者が、TSIG 署名付きリクエストに対して、切り詰められたレスポンスを送信することにより、サービス運用妨害 (DoS) 攻撃が行われる- CVE-2020-8622
  • 遠隔の第三者が、RSA で署名されたゾーンに対して、特別に細工されたクエリを送信することにより、サービス運用妨害 (DoS) 攻撃が行われる - CVE-2020-8623
  • 遠隔の第三者によって、ゾーンデータを更新される - CVE-2020-8624

対策方法

アップデートする
開発者が提供する情報をもとに、使用しているバージョンの最新版へアップデートしてください。開発者は、本脆弱性を修正した次のバージョンをリリースしています。
  • BIND 9.17.4
  • BIND 9.16.6
  • BIND 9.11.22
  • BIND Supported Preview Edition 9.11.22-S1

ベンダ情報

ベンダ リンク
Internet Systems Consortium, Inc (ISC) CVE-2020-8620: A specially crafted large TCP payload can trigger an assertion failure in tcpdns.c
CVE-2020-8621: Attempting QNAME minimization after forwarding can lead to an assertion failure in resolver.c
CVE-2020-8622: A truncated TSIG response can lead to an assertion failure
CVE-2020-8623: A flaw in native PKCS#11 code can lead to a remotely triggerable assertion failure in pk11.c
CVE-2020-8624: update-policy rules of type "subdomain" are enforced incorrectly

参考情報

  1. BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2020-8620）- バージョンアップを推奨 -
  2. BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2020-8621）- バージョンアップを推奨 -
  3. BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2020-8622）- バージョンアップを推奨 -
  4. BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2020-8623）- ビルド時に「--enable-native-pkcs11」を指定した場合にのみ対象、バージョンアップを推奨 -
  5. BIND 9.xの脆弱性（サービス提供者が意図しないDynamic Updateの許可）について（CVE-2020-8624）- バージョンアップを推奨 -

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2020-8620
CVE-2020-8621
CVE-2020-8622
CVE-2020-8623
CVE-2020-8624
JVN iPedia