2018年5月21日

ネームサーバ管理者の方々へ

一般社団法人日本ネットワークインフォメーションセンター

BIND 9.12における動作停止となる二つの脆弱性について(2018年5月)

2018年5月18日(現地時間)、BIND 9.12.0および9.12.1に存在する脆弱性の情報がISC (Internet Systems Consortium)から公開されました。

脆弱性の一つ目は、短時間の間にゾーン転送を連続で行うと例外が発生しnamedが停止する可能性があるというものです。

脆弱性の二つ目は、BIND 9.12で新しく実装されたserve-stale機能に不具合があり、 設定の有効・無効にかかわらず、状況によってはnamedが予期しない動作をしたり停止したりするものです。 なおこの脆弱性は、max-stale-ttlパラメータを0に設定することで回避できます。

いずれの脆弱性もバージョン 9.12.0 と 9.12.1 が対象であり、 他の9.9、9.10、9.11などのバージョンは影響ありません。

この脆弱性は新しくリリースされたバージョン 9.12.1-P2 で修正されています。

ご参考までに、アナウンスの原文へのリンクを以下に掲載します。 管理者の皆さまにおかれましては、ネームサーバソフトウェアのご確認など適切な処置をお願いいたします。

記

影響を受けるバージョン

9.12.0
9.12.1

脆弱性が修正されたバージョンのダウンロードページ

9.12.1-P2

https://www.isc.org/downloads

ISCからのアナウンス

CVE-2018-5736: Multiple transfers of a zone in quick succession can cause an assertion failure in rbtdb.c

https://kb.isc.org/article/AA-01602/74/CVE-2018-5736

CVE-2018-5737: BIND 9.12's serve-stale implementation can cause an assertion failure in rbtdb.c or other undesirable behavior, even if serve-stale is not enabled.

https://kb.isc.org/article/AA-01606/74/CVE-2018-5737

参考

CVE

CVE-2018-5736

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-5736

CVE-2018-5737

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-5737

JPRSからのアナウンス

BIND 9.12.xの脆弱性(DNSサービスの停止)について(CVE-2018-5736)

https://jprs.jp/tech/security/2018-05-21-bind9-vuln-zonedb.html

BIND 9.12.xの脆弱性(サービス性能の劣化及びDNSサービスの停止)について(CVE-2018-5737)

https://jprs.jp/tech/security/2018-05-21-bind9-vuln-servestale.html

JPCERTからのアナウンス

ISC BIND 9 の脆弱性 (CVE-2018-5736、CVE-2018-5737) について

https://www.jpcert.or.jp/newsflash/2018052101.html

以上