BINDなどのDNSにセキュリティ脆弱性 - JVN

JPCERTコーディネーションセンター(Japan Computer Emergency Response Team Coordination Center、JPCERT/CC)はこのほど、「Japan Vulnerability Notes(JVN)」に掲載した記事「JVNVU#91812636: 再帰的名前解決を行う DNS リゾルバの実装に名前解決を無限に繰り返す問題」において、DNSリゾルバの実装に存在する任意参照の無限ループに関する問題について伝えた。

RFC 1034では権限委任に関する技術解説はあるが、その実装方法に関しては規定がないため、再帰的なリゾルバの実装方法によっては任意参照する名前解決を無限に繰り返してしまう危険性がある。この問題を利用されると他のサーバに対するDoS攻撃にも利用される危険性がある。

DNSとして最も多く運用されていると思われるBINDに関しては、「JVNVU#94007830 ISC BIND 9 に複数の脆弱性」にセキュリティ脆弱性に関する情報がまとまっているほか、ほかのDNSの実装系に関してもそれぞれのプロジェクトやベンダからの情報を元にアップデートを実施することが推奨される。