【IT/セキュリティ】DNSサーバーの「BIND 9」に重大な脆弱性、企業などのキャッシュサーバーにも影響［12/06/05］

　日本レジストリサービスは2012年6月5日、DNS（Domain Name System）サーバーソフトの「BIND 9」に突然の
サービス停止の可能性を含む重大な脆弱性が見つかったことを報告し、速やかに対応措置を取るよう
広く呼びかけた。これまでリリースされたBIND 9の全バージョンが今回の脆弱性の影響を受けるという。

　同脆弱性は、「長さ0のrdataによってnamedが異常停止する」というもので、BINDの開発元であるISC
（Internet Systems Consortium）が6月4日（米国時間）に発表した。DNSで名前解決をする際にやりとりする
「資源レコード」（Resource Record、RR）内にある「RDATA」フィールドがヌル（サイズが0）であるDNSパケットを
DNSサーバーが処理しようとすると、サーバーがクラッシュしたり、サーバーメモリー内の情報がクライアントに
開示されたりする危険性がある。

　RDATA部分には通常、ドメイン名（Aレコードの問い合わせ時）やメールサーバー情報（MXレコードの
問い合わせ時）などが入るが、DNSの仕様（RFC1035）では実験的（EXPERIMENTAL）な資源レコードとして
上記0サイズのケースを含む（最大6万5535オクテットまで）「NULL RDATA format」が定義されており、
今回これが悪用された形になる。

　DNSサーバーには大まかに「権威サーバー」と「キャッシュサーバー」という二つの役割があるが（ほかに
「フォワーダー」などもあるがここでは省略）、今回の脆弱性では特にキャッシュサーバーに対しての影響が
大きいことをISCなどでは警告している。権威サーバーは、自身が管理するドメイン名の情報を答える側であり、
今回の脆弱性の影響を受けにくいのは、「管理者がデータを含まない（RDATAの長さが0である）試験的な
レコードタイプを使うように設定している場合だけ（影響を受ける）」（ISC）からだ。

　一方、キャッシュサーバーはクライアント（リゾルバ）からの要求に応じて様々な権威DNSサーバーに対して
各種DNSの問い合わせを実行するサーバーであるため、ユーザーがキャッシュサーバーを通じて
当該資源レコードを検索するだけでサービス妨害（DoS）攻撃を遂行できてしまう。

　このように非常に危険な脆弱性だが、ISCによれば回避策は「現在調査中」であり、一時的な回避策は
まだ見つかっていないという。ISCでは、抜本的な対策としてBIND 9.9.1-P1、9.8.3-P1、9.7.6-P1、9.6-ESV-R7-P1
へのアップグレード、またはディストリビューションベンダーがリリースするパッチの適用を強く勧めている。

　BINDは、DNSサーバーとして世界で最も使われている。ISCの推計によれば、稼働中のDNSサーバーの
80％以上がBINDだという。キャッシュサーバーはプロバイダーなどに設置されているほか、企業が自前で
立てて運用しているケースも多い。上記数値と併せて考えると、相当数の企業のDNSサーバーが影響を
受けることが予想される。自前でDNSサーバーを運用している企業ユーザーは、すぐにでも対策に動いた方が
よいだろう。


▽ソース：ITpro　（2012/06/05）
http://itpro.nikkeibp.co.jp/article/NEWS/20120605/400443/

サーバに不具合だとハードウェアの問題みたいに見えるだろ
「ソフト」を抜かすなよ

>>2
> サーバに不具合だとハードウェアの問題みたいに見えるだろ
そうでもないよ？

ブラックアウト計画を実際にやろうとした匿名さんか何かの話題なのかね。
…あっちはルートサーバだから関係ないか？

BINDって、インターネットの「かなめ」なのに、昔から問題多いね。他のDNSサーバーに
置換するって話もあったのに、ずーっとこれ使っているなぁ。

でも、これよりマシなBINDってあるのか？

重大な脆弱（きじゃく）性が見つかったようですね。　　＜あきもと煙り

ありゃま

ぬるぽ

割り算使う時は
分母がゼロかどうかチェックしろとあれ程

>>5
実際に長期間運用されて安定して動いてるのが正義だからなぁ。
よっぽど根源的で不味い不具合出ない限りこのまんまじゃないのかね。

DNSサーバで議論できるおまいらが羨ましい
どんなものかはわかるが細かいことはさっぱり・・

ウェハッハー

なんでWindowsDNSの脆弱性は大騒ぎしないで
BINDだけこんなに話題になるんだ？

> 「管理者がデータを含まない（RDATAの長さが0である）試験的な
> レコードタイプを使うように設定している場合だけ（影響を受ける）」

こんな意味のない変態的な設定わざわざするわけない

明日は World IPv6 Launch じゃねーか・・・
大丈夫かなぁ・・・

うちは NSD + unbound だから関係ない。

BINDはDNS界のsendmailだと言われて久しいが本家sendmailに比べると
頑張ってるよなあ。

>>14
シェアが圧倒的だし

>>14
誰も使ってないからじゃない?

>>2
え？
何時代の人？

今借りてる鯖BIND9動いてるよやべええええええええええええええ

マスコミが記事に困ったんだろ、捏造までいかないけど昔から機材によりけりで存在してたと思うよ

とくにソニーの機材

　　 （　・∀・）　　　|　|　ｶﾞｯ
　　と　　　　）　 　 |　|
　　　 Ｙ　/ノ　　　 人
　　　　 /　）　 　 < 　>__Λ∩
　　 ＿/し'　／／. Ｖ｀Д´）/ ←>>9
　　（＿フ彡　　　　　 　　/

>>14
むしろ、Win2000、NT4の時代ってWindows Serverなんてほとんど使われていなかったのに
鬼の首を取ったように報道されていたよな。Windowsの脆弱性ニュース。

なのに、UnixやMacの脆弱性はぜんぜんニュースにならんかった。
最近は技術者がかわったのかトレンドがかわったのかしれんが、
Windowsだからと言って叩かれるわけでもないし、Linuxだからと言ってベタほめされるわけでもないな。
業界の見識や意識が高くなったのかも

>>24
俄かなのが一目瞭然
知らないなら黙ってな

>>25
お前の方が中二だっての。
Msや窓叩いてるだけで通ぶれる時代なんてとっくに終わってるよ（＾＾
悔しかったら実力つけるしかないわな

よう、ジョンブル

助けてやってもいいがよ、「インドの藁をつかむ溺死者」ってことでOK？

おまえらお祭りしてる場合じゃねえよん

>>26
BIND8やsendmailやapache1.xのセキュリティアラートラッシュも知らずに吠えても痛いだけですよ
これ以上恥かくなアホ

FreeBSD-2.2.8どうしようかな（´・ω・`）

間違った情報を流し続けたら、それを信じてしまう
性善説のソフト。

場インドじゃないの？歯インド？

BINDにいまさらこんなバグが発見されたのか

レイディガガのおまんこに反応して処理できなくなるんやて
おまえもな

>>32
BINDなんて月に一回はセキュリティホールが出てくるような糞ソフトだぞ。