「BIND 9」に意図しないアクセス許可の脆弱性、対応を呼びかけ（JPRS）

JPRSは、「BIND 9.xの脆弱性（サービス提供者が意図しないアクセスの許可）について」を発表した。

インシデント・事故インシデント・情報漏えい

2013.11.7 Thu 18:37

株式会社日本レジストリサービス（JPRS）は11月7日、「BIND 9.xの脆弱性（サービス提供者が意図しないアクセスの許可）について」を発表した。これは、Winsockライブラリの動作に起因する不具合により、特定の条件下においてnamedに内蔵されているlocalnetsアクセスコントロールリスト（localnets ACL）が誤って設定される脆弱性（CVE-2013-6230）が、開発元のISCから発表されたことを受けたもの。

影響を受けるバージョンは以下の通り（Windows版のみ）

オープンソース版：
・9.6系列：9.6-ESV～9.6-ESV-R10
・9.8系列：9.8.0～9.8.6
・9.9系列：9.9.0～9.9.4

サブスクリプション版：
・9.9.3-S1、9.9.4-S1

本脆弱性によりサービス提供者が意図しないアクセスの許可が実施され、DNSリフレクター攻撃の踏み台としての悪用や、不正なゾーン転送によるデータの流出などの不具合が発生する可能性がある。なお、本脆弱性はWindows上で動作するnamedのみが対象となり、Unix上で動作するnamedは対象とならない。JPRSでは、該当するシステムでBIND 9.xを利用しているユーザは、関連情報の収集やバージョンアップなど、適切な対応を速やかに取ることを強く推奨している。

《吉澤亨史（ Kouji Yoshizawa ）》