【活用ガイド】

JVNDB-2015-001534

ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性

概要

ISC BIND 9 には、トラストアンカーの管理において、特定の条件下で named が終了する、サービス運用妨害 (DoS) の脆弱性が存在します。

ISC のアドバイザリには次のように記載されています。

CVE-2015-1349: A Problem with Trust Anchor Management Can Cause named to Crash
https://kb.isc.org/article/AA-01235/

"BIND servers which are configured to perform DNSSEC validation and which are using managed-keys (which occurs implicitly when using "dnssec-validation auto;" or "dnssec-lookaside auto;") may terminate with an assertion failure when encountering all of the following conditions in a managed trust anchor:

*a key which was previously trusted is now flagged as revoked;
*there are no other trusted keys available;
*there is a standby key, but it is not trusted yet

This situation results in termination of the named process and denial of service to clients, and can occur in two circumstances:

*during an improperly-managed key rollover for one of the managed trust anchors (e.g., during a botched root key rollover), or

*when deliberately triggered by an attacker, under specific and limited circumstances. ISC has demonstrated a proof-of-concept of this attack; however, the complexity of the attack is very high unless the attacker has a specific network relationship to the BIND server which is targeted"
CVSS による深刻度 (CVSS とは?)

CVSS v2 による深刻度
基本値: 5.4 (警告) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 全面的
影響を受けるシステム


ISC, Inc.
  • BIND 9.7.0 から 9.10.1-P1 まで
アップル
  • macOS Server (旧 OS X Server) 5.0.3 未満 (OS X Yosemite v10.10.5 以降)

なお、Development Version として開発されている以下のバージョンも影響を受けます。

　　　*BIND 9.9.7b1 および rc1
　　　*BIND 9.10.2b1 および rc1
想定される影響

遠隔の第三者によって、サービス運用妨害 (DoS) 攻撃を受ける可能性があります。
対策

[アップデートする]
ISC が提供する情報をもとに、以下のバージョンにアップデートしてください。

　　　* BIND 9.9.6-P2
　　　* BIND 9.10.1-P2

開発者から Development Version のアップデートとして以下のバージョンが提供されています。

　　　* BIND 9.9.7rc2
　　　* BIND 9.10.2rc2

[ワークアラウンドを実施する]
次のワークアラウンドを実施することで、本脆弱性の影響を回避することが可能です。

　　　* dnssec-validation に auto を使用しない、また dnssec-lookaside のオプションで managed-keys を設定しない
このワークアラウンドを実施する場合、正しい鍵を用いて trusted-keys を明示的に指定する必要があります。
ベンダ情報

ISC, Inc. アップル ヒューレット・パッカード マカフィー レッドハット
CWEによる脆弱性タイプ一覧  CWEとは?

  1. リソース管理の問題(CWE-399) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2015-1349
参考情報

  1. JVN : JVNVU#93982119
  2. JVN : JVNVU#99970459
  3. National Vulnerability Database (NVD) : CVE-2015-1349
  4. JPRS : BIND 9.xの脆弱性（DNSサービスの停止）について（2015年2月19日公開）
  5. 関連文書 : MGASA-2015-0082
更新履歴

  • [2015年02月20日]
      掲載
    [2015年03月18日]
      ベンダ情報：レッドハット (Bug 1193820) を追加
      ベンダ情報：レッドハット (RHSA-2015:0672) を追加
      参考情報：関連文書 (MGASA-2015-0082) を追加
    [2015年05月20日]
      ベンダ情報：マカフィー (SB10116) を追加
    [2015年09月03日]
      ベンダ情報：ヒューレット・パッカード (HPSBUX03379) を追加
    [2015年10月05日]
      影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
      ベンダ情報：アップル (APPLE-SA-2015-09-16-4 OS X Server 5.0.3) を追加
      ベンダ情報：アップル (HT205219) を追加
      参考情報：JVN (JVNVU#99970459) を追加

公表日2015/02/18
登録日2015/02/20
最終更新日2015/10/05