"複数の"DNS実装におけるサービス不能(DoS)脆弱性について(2014年12月)

2014年12月8日(現地時間)、複数のDNSサーバソフトウェアの実装においてサービス不能(DoS)を引き起こす可能性のある脆弱性が、各ベンダーからアナウンスされました。

本脆弱性は、DNSキャッシュサーバが、名前解決時の委任を処理する際に細工されたゾーンの委任情報を受け取ることで、 CPUやネットワーク資源を大量に消費してサービス性能の低下もしくはサービス停止となるものです。

ご参考までに、アナウンスの原文へのリンクを以下に掲載します。管理者の皆様におかれましては、ネームサーバソフトウェアのご確認など適切な処置をお願いいたします。

記

脆弱性の概要

DNSはドメインの情報を複数のゾーンに分割し、委任と呼ばれる方法でゾーンとゾーンを連携させています。キャッシュサーバは名前解決を行うときに、その委任をたどることでドメイン名の情報を得ます。

この委任の処理において、権威サーバから得られる「次に問い合わせるゾーンについての情報(referral)」の処理が正しく制限されていないDNS実装があり、そのような実装のキャッシュサーバは、権威サーバから細工された情報を受け取った場合、メモリやCPU資源を大量消費する、もしくは問い合わせパケット数が増大するといった事象が発生します。