ISC 提供のBINDに複数の脆弱性、アップデートを呼びかけ（JVN、JPRS）

脆弱性と脅威セキュリティホール・脆弱性

127 views

2020.8.25 Tue 8:05

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）は8月21日、ISC（Internet Systems Consortium）が提供するBINDに存在する複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受ける製品とバージョンは以下の通り。

・CVE-2020-8620
BIND 9.16系 9.16.0 から 9.16.5 まで

・CVE-2020-8621
BIND 9.16系 9.16.0 から 9.16.5 まで
BIND 9.14系 9.14.0 から 9.14.12 まで

・CVE-2020-8622
BIND 9.16系 9.16.0 から 9.16.5 まで
BIND 9.14系 9.14.0 から 9.14.12 まで
BIND 9.11系 9.11.3 から 9.11.21 まで
BIND 9 Supported Preview Edition 9.9.3-S1 から 9.11.21-S1 まで

・CVE-2020-8623
BIND 9.16系 9.16.0 から 9.16.5 まで
BIND 9.14系 9.14.0 から 9.14.12 まで
BIND 9.11系 9.11.3 から 9.11.21 まで
BIND 9 Supported Preview Edition 9.10.5-S1 から 9.11.21-S1 まで

・CVE-2020-8624
BIND 9.16系 9.16.0 から 9.16.5 まで
BIND 9.14系 9.14.0 から 9.14.12 まで
BIND 9.11系 9.11.3 から 9.11.21 まで
BIND 9 Supported Preview Edition 9.9.12-S1 から 9.9.13-S1 まで
BIND 9 Supported Preview Edition 9.11.3-S1 から 9.11.21-S1 まで

想定される影響は各脆弱性により異なるが、遠隔の第三者が特別に細工された大きなTCPペイロードを送信することにより、サービス運用妨害（DoS）攻撃が行われる（CVE-2020-8620）、遠隔の第三者が細工されたクエリを送信することにより、サービス運用妨害（DoS）攻撃が行われる（CVE-2020-8621）、遠隔の第三者がTSIG署名付きリクエストに対して、切り詰められたレスポンスを送信することにより、サービス運用妨害（DoS）攻撃が行われる（CVE-2020-8622）、遠隔の第三者がRSA で署名されたゾーンに対して特別に細工されたクエリを送信することにより、サービス運用妨害（DoS）攻撃が行われる（CVE-2020-8623）、遠隔の第三者によってゾーンデータを更新される（CVE-2020-8624）等の影響を受けるおそれがある。

また、株式会社日本レジストリサービス（JPRS）でも同日、CVE-2020-8624について、外部の攻撃者がDynamic Updateを用いてゾーンデータを不正に更新する可能性があると発表し、namedの設定ファイル（通常はnamed.conf）にてupdate-policy機能を用いたDynamic Updateの制御を設定しており、かつ、subdomainルールタイプを設定している場合にのみ該当（デフォルトでは無効）するとしている。

JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。