こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。
05/19/2022(JST)に、予告通りBIND 9の脆弱性情報(High: CVE-2022-1183)と新バージョン(9.16.28, 9.18.3, 9.19.1 )が公開されています。脆弱性に関しては9.18.x / 9.19.0が対象で、DNS Over HTTPS (DoH)を使用している場合が対象となります（他のバージョンはメンテナンスリースとなります）今回は、こちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。
一次情報源
BIND 9 Security Vulnerability Matrix
| CVE番号 | 影響するバージョン | プライオリティ | 攻撃 | CVSS Score | CVSS Vector |
|---|---|---|---|---|---|
| CVE-2021-25220 | BIND 9.18.0 – 9.18.2, 9.19.0 | High | リモート | CVSS Score: 7.0 | CVSS v3.1 Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H/E:F/RL:O/RC:C |
修正方法
各ディストリビューションの情報を確認してください。
CVE概要(詳細はCVEのサイトをご確認ください)
- https://kb.isc.org/docs/cve-2021-25220
- DNS over HTTPS(DoH)を使用している場合のアサーションフェーラーの可能性
- 重要度 – High
- 攻撃 – リモート
- 説明：http TLSリスナーとして定義されたエンドポイントへのTLS接続の破棄が早すぎる場合、アサーションフェーラーが発生する可能性があります。
- 影響：脆弱性のある設定の場合、namedデーモンはいくつかの状況でアサーションフェーラーにより終了します。脆弱性のある設定はnamed.conf中でhttpにlisten-onステートメントが設定されている場合です。TLSはDNS over TLS(DoT)とDNS over HTTPS(DoH)で使用されていますが、DoTのみを使用している場合には影響を受けません。
主なディストリビューションの対応方法
詳細は、各ディストリビューションの提供元にご確認ください
- Debian
- Red Hat Enterprise Linux/CentOS
- Ubuntu
- SUSE/openSUSE
- Arch
対処方法
各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。
また、サービスの再起動が発生しますので、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。
日々のメモを更新しています。
セキュリティ関係ニュースを更新しています。個別で情報出せるようになる前の簡単な情報・リンクなんかも載せていきます。
