公開日:2022/03/17 最終更新日:2022/05/11

JVNVU#98927070
ISC BINDにおける複数の脆弱性

概要

ISC(Internet Systems Consortium)が提供するISC BINDには、複数の脆弱性が存在します。

影響を受けるシステム

CVE-2021-25220

  • BIND 9.11.0から9.11.36
  • BIND 9.12.0から9.16.26
  • BIND 9.17.0 から9.18.0
  • BIND 9.11.4-S1から9.11.36-S1(BIND Supported Preview Edition)
  • BIND 9.16.8-S1から9.16.26-S1(BIND Supported Preview Edition)
開発者によると、BIND Supported Preview Edition 9.1.0を含む上記より前のバージョンも本脆弱性の影響を受ける可能性がありますが、サポート終了(EOL)のため、影響有無の確認をしていないとのことです。

CVE-2022-0396
  • BIND 9.16.11から9.16.26
  • BIND 9.17.0から9.18.0
  • BIND 9.16.11-S1から9.16.26-S1(BIND Supported Preview Edition)
CVE-2022-0635、CVE-2022-0667
  • BIND 9.18.0

詳細情報

ISC(Internet Systems Consortium)が提供するISC BINDには、次の複数の脆弱性が存在します。

  • DNSフォワーダーによるキャッシュ汚染 - CVE-2021-25220
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N 基本値: 6.2
  • 細工されたTCPパケットによるサービス運用妨害(DoS) - CVE-2022-0396
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L 基本値: 4.9
  • 特定のクエリパターン繰り返しによる意図的なアサーション違反 - CVE-2022-0635
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値: 7.0
  • DSlookup待機時の意図的なアサーション違反 - CVE-2022-0667
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値: 7.0

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • キャッシュが不正なレコードで汚染されることによって、誤ったサーバーに対してクエリが実行され、誤った情報がクライアントに返信される - CVE-2021-25220
  • 細工されたTCPストリームによって、クライアントの接続が終了した後も、BINDへの接続が永続的にCLOSE_WAITステータスのままとなる - CVE-2022-0396
  • namedが特定のクエリを受信すると、アサーションチェックに失敗し、namedプロセスが終了する - CVE-2022-0635
  • 転送の必要があるDSレコード要求処理時にタイムアウトが発生すると、アサーションエラーがトリガーされてBINDプロセスが終了する - CVE-2022-0667

対策方法

アップデートする
開発者が提供する以下のパッチバージョンにアップデートしてください。

CVE-2021-25220

  • BIND 9.11.37
  • BIND 9.16.27
  • BIND 9.18.1
  • BIND 9.11.37-S1(BIND Supported Preview Edition)
  • BIND 9.16.27-S1(BIND Supported Preview Edition)
CVE-2022-0396
  • BIND 9.16.27
  • BIND 9.18.1
  • BIND 9.16.27-S1(BIND Supported Preview Edition)
CVE-2022-0635、CVE-2022-0667
  • BIND 9.18.1

ベンダ情報

ベンダ ステータス ステータス
最終更新日
ベンダの告知ページ
図研エルミック株式会社 該当製品無し 2022/05/11

参考情報

  1. JPRS
    BIND 9.xの脆弱性(キャッシュポイズニングの危険性)について(CVE-2021-25220)- DNSフォワーダーのみ対象、バージョンアップを推奨 -
  2. JPRS
    BIND 9.xの脆弱性(システムリソースの過度な消費)について(CVE-2022-0396)- keep-response-orderを有効にしている場合のみ対象、バージョンアップを推奨 -
  3. JPRS
    (緊急)BIND 9.18.0の脆弱性(DNSサービスの停止)について(CVE-2022-0635)- BIND 9.18.0のみが対象、バージョンアップを強く推奨 -
  4. JPRS
    (緊急)BIND 9.18.0の脆弱性(DNSサービスの停止)について(CVE-2022-0667)- BIND 9.18.0のみが対象、バージョンアップを強く推奨 -
  5. JPCERT/CC CyberNewsFlash 2022-03-17
    ISC BIND 9における複数の脆弱性について(2022年3月)

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2022/05/11
図研エルミック株式会社のベンダステータスが更新されました