ISC、BIND 9の更新版を公開 DoSの脆弱性に対処

脆弱性を悪用された場合、リモートの認証を受けない攻撃者がサーバをクラッシュさせ、サービス妨害状態を誘発できてしまう恐れがある。

[鈴木聖子，ITmedia]

　米Internet Systems Consortium（ISC）は、DNSサーバソフトウェア「BIND 9」の更新版を5月26日付で公開し、サービス妨害（DoS）の脆弱性に対処した。

　ISCや米セキュリティ機関のUS-CERTによると、この脆弱性は、BIND 9で構築されたDNSシステムが存在しないドメインを参照した際に、その情報をネガティブキャッシュする仕組みに関連して発生する。

　この脆弱性を悪用された場合、リモートの認証を受けない攻撃者がマルウェアやスパムメールを使って不正なドメインを参照させる手口でサーバをクラッシュさせ、DoS状態を誘発できてしまう恐れがあるという。

　危険度は「High」と評価され、共通指標CVSSのベーススコアは7.8（最高値は10）となっている。

　この問題は、BIND最新版となるバージョン9.4-ESV-R4-P1、9.6-ESV-R4-P1、9.7.3-P1、9.8.0-P2で解決された。