こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。
11/21/2019にBIND 9 の脆弱性情報(Medium: CVE-2019-6477)が公開されています。今回は、こちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。
2019/11/21 15:30追記：Red Hatの情報を追記しました。また暫定回避策を追記しました。
[過去の関連リンク(最新5件)]
BINDの脆弱性情報(Medium: CVE-2019-6475, CVE-2019-6476)
BINDの脆弱性情報(Medium: CVE-2019-6471)
BIND Supported Preview Editionの脆弱性情報(Medium: CVE-2019-6469)
BINDの複数の脆弱性情報(High: CVE-2018-5743, Medium: CVE-2019-6467, CVE-2019-6468)
BIND 9 の複数の脆弱性情報(High: CVE-2018-5744, Medium: CVE-2018-5745, CVE-2019-6465)
一次情報源
BIND 9 Security Vulnerability Matrix
| CVE番号 | 影響するバージョン | プライオリティ | 攻撃 | CVSS Score | CVSS Vector |
|---|---|---|---|---|---|
| CVE-2019-6477 | BIND 9.11.6-P1 -> 9.11.12, 9.12.4-P1 -> 9.12.4-P2, 9.14.1 -> 9.14.7, 9.11.5-S6 -> 9.11.12-S1 (BIND 9 Supported Preview Edition), 9.15.0 -> 9.15.5(Dev branch) | Medium | リモート | CVSS Score: 6.5 | CVSS Vector: CVSS:3.1AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H/E:U/RL:O/RC:C |
修正方法
各ディストリビューションの情報を確認してください。
CVE概要(詳細はCVEのサイトをご確認ください)
- http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6477
- TCPパイプラインによるクエリがTCPクライアント制限を迂回出来る可能性
- 重要度 – Medium
- 説明：デザイン上、BINDは接続できるTCPクライアントの数を制限することが出来ます。CVE-2018-5743の脆弱性によりBINDのTCPクライアントの同時接続数の計算方法をTCPクエリからTCPクライアント接続に変更しました。しかしながらパイプライン化されたTCP問い合わせを扱えるサーバでは、一つのTCPクライアントが単一の接続で膨大な数のDNSリクエストを送ることが可能です。このようなクエリは新しいTCPクライアント制限を迂回してしまいます。
影響：パイプラインを有効にすると、TCP接続のクエリに対して、UDPまたはTCPを介してパイプラインを有効にせずに受信したクエリと同様のリソース割り当てが必要となります。 サーバーへのTCPパイプライン接続を使用するクライアントは、サーバーが処理するように考えられているよりも多くのリソースを消費する可能性があります。 多数のパイプラインクエリを使用するTCP接続が閉じられると、これら複数のリソースを解放するサーバーの負荷により、権限のあるクエリまたはキャッシュから応答できるクエリであっても応答しなくなる可能性があります(これは、途切れ途切れのサーバーの問題として認識される可能性が高いです)。
- 暫定回避策
下記の設定を行ってTCPパイプラインを無効にすることで問題を緩和できます。ただし、BINDの再起動が必要になります（”reload”や”reconfig”では無効にしたことが適用されません）。keep-response-order { any; };
主なディストリビューションの対応方法
詳細は、各ディストリビューションの提供元にご確認ください
- Debian
- Red Hat Enterprise Linux/CentOS
- Ubuntu
https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-6477.html
- SUSE/openSUSE
- Arch
対処方法
各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。
また、サービスの再起動が発生しますので、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。
セキュリティ系連載案内
- OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。
- OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。
- OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2018のレポートが紹介されています。
- OSSセキュリティ技術の会の面により、@ITで「OSS脆弱性ウォッチ」が連載されています。
- OSSセキュリティ技術の会の面により、@ITで「OpenSCAPで脆弱性対策はどう変わる？」が連載されています。
- OSSセキュリティ技術の会のメンバーにより、@ITで「Berkeley Packet Filter（BPF）入門」が連載されています。
セミナー情報1
OSSセキュリティ技術の会では、2019/12/13(金) 19:00-21:00に「OSSセキュリティ技術の会 第七回勉強会(副題：君がッ泣くまで入力をやめないッ！ ～Linuxカーネルの高度な試験自動化技術と バグハンティングの巻～)」と題して、「syzkaller/syzbot」をテーマに勉強会を開催することになりました。
Linux カーネルのソースコードカバレッジを活用した高度な試験自動化技術について話していただきます。
プログラム内容と申し込みの詳細についてはこちら(connpass)を御確認下さい。
