| エンタープライズ：ニュース | 2003/01/17 18:00:00 更新 |
DHCPサーバ「ISC DHCPD」にバッファオーバーフローの脆弱性、CERT/CCが警告
米CERT/CCは、インターネット・ソフトウェア・コンソーシアム（ISC）のDHCPサーバソフトウェア「ISC DHCPD」に、複数のセキュリティホールが存在すると警告した
米CERT/CCは1月15日、インターネット・ソフトウェア・コンソーシアム（ISC）のDHCPサーバソフトウェア、「ISC DHCPD」に、複数のセキュリティホールが存在するという警告（アドバイザリ）を発表した。
これらの問題は、ISC自身によるソースコードの監査中に発見されたものだ。バッファオーバーフローを引き起こし、最悪の場合任意のコードを実行されてしまう可能性があるという。
これらの脆弱性が存在するのは、ISC DHCPDのバージョン3.0から3.0.1RC10までだ。ISCでは既にパッチを公開しているため、これを適用するか、ISC DHCPD本体をアップグレードすることで問題を解決できる。
ただしISC DHCPDは、LinuxやBSDをベースとした幅広いOS、およびルータなどに採用されている。CERT/CCのアドバイザリでも触れられているが、BSDIやRed Hat Linux 8.0、SuSE Linuxには、セキュリティホールの存在するバージョンが含まれているため、それぞれ提供されるパッチを適用する必要がある（SuSE Linuxは1月17日18時現在、パッチの準備中）。
またCERT/CCでは、パッチの適用やアップグレードが不可能な場合には、セキュリティホールの原因となったNSUPDATE機能、もしくはDHCPサービスそのものを停止するよう推奨している。
サーバを立ち上げる場合、不要なサービスは最初から停止しておくことは、セキュリティ対策の基本でもある。「どうしても自社内でDHCPサービスが必要だ」という場合を除けば、この際DHCPサービスを停止しておくことが望ましい。また、キャリアやISPでもない限り、外部にDHCPサービスを提供することは稀なはずだ。したがって、ファイアウォールなどの設定を変更し、DHCPサービスが利用するポートを塞ぐことも対策の1つとなる。
関連リンク
CERT Advisory CA-2003-01 Buffer Overflows in ISC DHCPD Minires Libraryインターネット・ソフトウェア・コンソーシアム[ITmedia]
