DNS脆弱性の詳報が手違いで流出：被害拡大の恐れも

[ITmedia]

　インターネット上のドメイン名とIPアドレスを対応させるDNSプロトコルに脆弱性が見つかった問題で、この脆弱性に関する詳細な情報が手違いで流出した。これにより、攻撃発生の危険が大幅に高まったとして、US-CERTやSANS Internet Storm Centerは7月22日、DNSサーバ運営者に対し直ちにベンダーのパッチを適用するよう呼び掛けた。

　DNSはインターネットの根幹を担うとも言えるシステム。今回の脆弱性を突いてDNSキャッシュポイズニング攻撃を仕掛けられると、正規のサイトを訪れたユーザーが、まったく別の悪質サイトなどに誘導される恐れがある。

　今回の脆弱性についてはUS-CERTなどが7月上旬にアドバイザリーを公開。しかし、詳しい内容は伏せられており、セキュリティ研究者のダン・カミンスキー氏が8月のBlackhatで発表する予定になっていた。

　ところが手違いで、詳細情報が一般に公開されてしまったという。攻撃者がこれを利用すれば、悪用コードを作成してDNSキャッシュポイズニング攻撃を仕掛けることが可能になる。

　US-CERTのアドバイザリーでは、システムにこの脆弱性が存在するベンダーとしてCisco Systems、Debian GNU/Linux、FreeBSD、富士通、Hewlett-Packard（HP）、IBM、Internet Systems Consortium（ISC）、Juniper Networks、Microsoft、Novell、Red Hat、Sun Microsystems、SUSE Linux、Ubuntuなどを挙げている。

　このうち、Microsoftは7月の月例パッチで問題を修正。ISC、Cisco、Debian、Red Hatなどもパッチやアドバイザリーを公開した。

　今回の詳細情報流出により、企業やISPが緊急に脆弱性の修正パッチを適用する必要性が一層高まったとSANSは指摘している。

過去のセキュリティニュース一覧はこちら