JVNDB-2021-001029
|
ISC BIND にバッファオーバーフローの脆弱性
|
ISC (Internet Systems Consortium) が提供する BIND には、バッファオーバーフローの脆弱性が存在します。
BIND には TSIG プロトコルの拡張機能である GSS-TSIG の、GSSAPI に基づくネゴシエーションメカニズム SPNEGO の実装不備によりバッファオーバーフローの脆弱性が存在します。
|
CVSS v3 による深刻度 基本値: 8.1 (重要) [IPA値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 高
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): 高
- 可用性への影響(A): 高
|
|
ISC, Inc.
- BIND 9.5.0 から 9.11.27
- BIND 9.12.0 から 9.16.11
- BIND Supported Preview Edition 9.11.3-S1 から 9.11.27-S1
- BIND Supported Preview Edition 9.16.8-S1 から 9.16.11-S1
- BIND 開発版 9.17.0 から 9.17.1
|
|
GSSAPI に関するオプション tkey-gssapi-keytab または tkey-gssapi-credential に有効な値が明示的に設定されている場合に named プロセスのクラッシュが引き起こされ、サービス運用妨害 (DoS) 状態にされる可能性があります。
開発者によると、2021年2月18日時点では実証されていませんが、リモートでコード実行できる可能性があると報告しています。
|
[アップデートする]
開発者が提供する情報をもとに、使用しているバージョンの最新版へアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。
* BIND 9.11.28
* BIND 9.16.12
* BIND Supported Preview Edition 9.11.28-S1
* BIND Supported Preview Edition 9.16.12-S1
[ワークアラウンドを実施する]
* GSS-TSIG を使用しない
* 一部のプラットフォームで BIND ビルド時、ソースディレクトリのトップにある configure スクリプトを実行する際 --disable-isc-spnego をコマンドライン引数に指定し、SPNEGO を組み込まない named を作成する (ただし、GSSAPI が使用できなくなる可能性があります)
|
ISC, Inc.
|
|
- CVE-2020-8625
|
- JVN : JVNVU#90613078
- JPRS : (緊急)BIND 9.xの脆弱性(DNSサービスの停止・リモートコード実行)について(CVE-2020-8625)- GSS-TSIGが有効に設定されている場合のみ対象、バージョンアップを強く推奨 -
|
|