BIND 9における脆弱性について(2022年9月)

2022年9月21日(現地時間)、 BIND 9に存在する複数の脆弱性の情報がISC (Internet Systems Consortium)から公開されました。

ISCは、2件の脆弱性(CVE-2022-2795, CVE-2022-2881)の深刻度を中(Medium)と評価し、 4件の脆弱性(CVE-2022-2906, CVE-2022-3080, CVE-2022-38177, CVE-2022-38178)の深刻度を高(High)と評価しています。

アナウンスの原文へのリンクを以下に掲載します。管理者の皆様におかれましては、ネームサーバソフトウェアのご確認など適切な処置をお願いいたします。

CVE-2022-2795: Processing large delegations may severely degrade resolver performance: https://kb.isc.org/docs/cve-2022-2795
CVE-2022-2881: Buffer overread in statistics channel code: https://kb.isc.org/docs/cve-2022-2881
CVE-2022-2906: Memory leaks in code handling Diffie-Hellman key exchange via TKEY RRs (OpenSSL 3.0.0+ only): https://kb.isc.org/docs/cve-2022-2906
CVE-2022-3080: BIND 9 resolvers configured to answer from stale cache with zero stale-answer-client-timeout may terminate unexpectedly: https://kb.isc.org/docs/cve-2022-3080
CVE-2022-38177: Memory leak in ECDSA DNSSEC verification code: https://kb.isc.org/docs/cve-2022-38177
CVE-2022-38178: Memory leaks in EdDSA DNSSEC verification code: https://kb.isc.org/docs/cve-2022-38178

修正されたバージョンとダウンロードページ

BIND 9.16.33
BIND 9.18.7
BIND 9.19.5

https://www.isc.org/download/

参考情報

JPRS

BIND 9.xの脆弱性（パフォーマンスの低下）について（CVE-2022-2795） - バージョンアップを強く推奨 -: https://jprs.jp/tech/security/2022-09-22-bind9-vuln-large-delegations.html
BIND 9.18.xの脆弱性（不適切なメモリの読み取りまたはDNSサービスの停止）について（CVE-2022-2881） - BIND 9.18系列のみが対象、バージョンアップを強く推奨 -: https://jprs.jp/tech/security/2022-09-22-bind9-vuln-bufferoverread.html
(緊急) BIND 9.18.xの脆弱性（メモリリークの発生）について（CVE-2022-2906） - BIND 9.18系列のみが対象、バージョンアップを強く推奨 -: https://jprs.jp/tech/security/2022-09-22-bind9-vuln-tkey.html
(緊急) BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2022-3080） - バージョンアップを強く推奨 -: https://jprs.jp/tech/security/2022-09-22-bind9-vuln-serve-stale.html
(緊急) BIND 9.xの脆弱性（メモリリークの発生）について（CVE-2022-38177） - バージョンアップを強く推奨 -: https://jprs.jp/tech/security/2022-09-22-bind9-vuln-ecdsa.html
(緊急) BIND 9.xの脆弱性（メモリリークの発生）について（CVE-2022-38178） - バージョンアップを強く推奨 -: https://jprs.jp/tech/security/2022-09-22-bind9-vuln-eddsa.html