BIND 9における脆弱性について(2019年6月)

2019年6月19日(現地時間)、複数のバージョンのBIND 9に存在する脆弱性の情報がISC (Internet Systems Consortium)から公開されました。

本脆弱性は、細工された応答を受け取ったリゾルバがパケットを破棄する処理を行う際に例外が発生し、 namedが終了する可能性があるというものです。

ご参考までに、アナウンスの原文へのリンクを以下に掲載します。管理者の皆さまにおかれましては、ネームサーバソフトウェアのご確認など適切な処置をお願いいたします。

記

CVE-2019-6471: 細工された応答を破棄する際、競合状態が発生し例外処理によってBINDが終了する

概要	細工されたパケットを大量に受信したときに競合状態が発生し、 BINDがREQUIRE例外となり終了します。攻撃者は、問い合わせに対する応答に細工を行いリゾルバに受信させることでnamedを終了させることができます。そのためサービス拒否攻撃(DoS)を起こすことが可能になります。
影響を受けるバージョン	9.11.0 〜 9.11.7 9.12.0 〜 9.12.4-P1 9.14.0 〜 9.14.2 9.13 および 9.15開発版系列 9.11.3-S1 〜 9.11.7-S1
回避策	ISCからは公表されていません。
修正されたバージョンとダウンロードページ	9.11.8 9.12.4-P2 9.14.3 9.15.1 9.11.8-S1 https://www.isc.org/downloads/

CVE-2019-6471: A race condition when discarding malformed packets can cause BIND to exit with an assertion failure: https://kb.isc.org/docs/cve-2019-6471