bind9の緊急の脆弱性 (CVE-2015-8000,CVE-2015-8461) — | サイオスOSS | サイオステクノロジー

2015.12.16

bind9の緊急の脆弱性 (CVE-2015-8000,CVE-2015-8461)

bind9に緊急の脆弱性(CVE-2015-8000)とMediumの脆弱性(CVE-2015-8461)が報告されているため、至急のアップデートが求められています。ここでは、更新情報を紹介します。
(各社対応については逐次更新します)。

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

12月16日にbind9の脆弱性(CVE-2015-8000, CVE-2015-8461)が報告されています。影響度合いも”Critical”,”Medium”になっていますので、ここでは、本脆弱性について簡単にまとめてみます。

(※)各社対応については逐次更新します

Priority

Critical

影響するバージョン

bindバージョンCVE-2015-8000>CVE-2015-8461
9.9系列9.9.8以前のバージョン9.9.8-P1以前のバージョン
9.10系列9.10.3以前のバージョン9.10.3-P1以前のバージョン

対応

下記のバージョンに上げてください。詳しくは、各ディストリビューションの情報を参照してください

  • bind-9.8系列: 9.9.8-P2
  • bind-9.10系列: 9.10.3-P2

CVE概要(詳細はCVEのサイトをご確認ください)

  • CVE-2015-8000

    • namedに対するリモートからのサービス停止

    • 重要度 – Critical

    • BINDが悪意のあるDNS入力に対して拒絶する箇所にバグがあり、不正なクラスを受け付けてしまうようになっていました。これにより、REQUIREアサーションフェーラーを引き起こし、結果としてnamedを異常終了させることが可能になります。この脆弱性を利用した攻撃は、リモートから可能になります。

  • CVE-2015-8461

    • 競合によるDoSの脆弱性

    • 重要度 – 中

    • 実装上の問題により、resolver.c中のINSIST assertin failureの出力を伴い、namedが以上終了します。

主なディストリビューションの対応方法

bind9及び関係するパッケージのバージョンを更新する必要があります。

詳細は、各ディストリビューションの提供元にご確認ください

[参考]

—–

タイトルとURLをコピーしました