一次情報源

BIND 9 Security Vulnerability Matrix

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• CVE-2018-5738

• 不正なクライアントへの再帰的クエリサービスの不適切な許可

• 重要度 – Medium

• Change #4777(2017年10月に導入されました)の変更が後に発行されたバージョンに予想外の問題を生み出し、BINDネームサーバーへの再帰的クエリを許可するクライアントに影響を与えました。

  意図した（ドキュメント化された）振る舞いとしては、オペレータが”allow-recursion”設定に値を指定していない場合、デフォルトで以下の何れかになるべきでした。

  • もし”recursion no”がnamed.confに指定されていた場合にはnone。

  • “recursion yes”（デフォルト）が指定されていて、マッチリストが明示的に”allow-query-cache”又は”allow-query”を設定されている場合、”allow-query-cache”または “allow-query”設定から継承した値(詳しくはBIND9 管理者リファレンスマニュアル6.2章を参照)。

  • “recursion yes”（デフォルト）が指定されていて、”allow-query-cache”又は”allow-query”が設定されていない場合、意図された”allow-recursion {localhost;localnets;}”のデフォルト。

  しかしながら、Change#4777でのレグレッションにより、 全てのホストからの”allow-query”設定がデフォルトになるように”allow-query-cache”又は”allow-query”のための”allow-recursion”の設定が提供されていてマッチリストの値に無い場合、”recursion yes;” が有効になってしまう可能性があります。

• インパクト

この問題により、いくつかの影響があります。

• 許可されていないクライアントからの追加のクエリは、サーバの負荷を増大させ、サービスを低下させる可能性があります。

• 許可されていないクライアントからの照会を許可すると、サーバがDNSリフレクション攻撃の使用を手助けする可能性があります。

• 攻撃者はキャッシュから応答されたクエリの結果を調べることで、サーバが以前にサービスしたクエリを遂行し、クエリが実行された可能性のあるプライベート情報を漏洩する可能性があります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• debian

  https://security-tracker.debian.org/tracker/CVE-2018-5738

• Red Hat Enterprise Linux/CentOS

  https://access.redhat.com/security/cve/CVE-2018-5738

• Ubuntu

• openSUSE

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、サービスの再起動が発生しますので、peacemakerなどOSSのクラスタ製品を使うとサービス断の時間を最小限にすることが出来ます。

[参考]

BIND 9 Security Vulnerability Matrix

セキュリティ系連載案内

• OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。

• OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。

• OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2017のレポートが紹介されています。

• OSSセキュリティ技術の会の面により、@ITで「OSS脆弱性ウォッチ」が連載されています。