---------------------------------------------------------------------
■BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2016-9778）
  - nxdomain-redirectオプションを指定している場合のみ対象、
    バージョンアップを推奨 -

                                株式会社日本レジストリサービス（JPRS）
                                            初版作成 2017/01/12（Thu）
---------------------------------------------------------------------

▼概要

  BIND 9.xにおける実装上の不具合により、namedに対する外部からのサービ
  ス不能（DoS）攻撃が可能となる脆弱性が、開発元のISCから発表されました。
  本脆弱性により、提供者が意図しないサービスの停止が発生する可能性があ
  ります。

  本脆弱性はサブスクリプション版の一部、及び9.11系列が影響を受けます。
  該当するBIND 9.xを利用しているユーザーは関連情報の収集やバージョンアッ
  プなど、適切な対応を取ることを推奨します。

▼詳細

▽本脆弱性の概要

  BIND 9.xには、名前が存在しなかった場合にNXDOMAINに替えて特定のIPアド
  レス（AまたはAAAA）に対する応答を返すように設定するための機能が二つ
  実装されています（*1）。一つは、BIND 9.9で実装されたRedirect zone機
  能で（*2）、もう一つはBIND 9.11で実装された、より柔軟な設定が可能な
  Redirect namespace機能です（*3）（*4）。

  （*1）この機能は「NXDOMAIN redirection」と呼ばれています。

  （*2）namedの設定ファイル（通常はnamed.conf）のzoneステートメントに
        おいて「type redirect」を指定することで有効になります。

  （*3）namedの設定ファイルのnxdomain-redirectオプションで指定します。

  （*4）Redirect zone及びRedirect namespace機能及び設定方法の詳細につ
        いては、BIND 9.11系列に付属のAdministrator Reference Manual
        （ARM）を参照ください。

  BIND 9.xにはRedirect namespace機能に不具合があり、nxdomain-redirect
  オプションにおいて自身が権威を持つゾーンが指定されていた場合、本機能
  に該当する問い合わせを処理する際にnamedが異常終了を起こす障害が発生
  します（*5）。

  （*5）本脆弱性によりnamedが異常終了した場合、db.cでassertion
        failureを引き起こした旨のメッセージがログに出力されます。

  本脆弱性により、DNSサービスの停止が発生する可能性があります。また、
  本脆弱性を利用した攻撃はリモートから可能です。

▽対象となるバージョン

  本脆弱性はサブスクリプション版の一部、及びBIND 9.11系列が該当します。

  ・9.11系列：9.11.0～9.11.0-P1

▽影響範囲

  ISCは、本脆弱性の深刻度（Severity）を「高（High）」と評価しています。

  本脆弱性は、namedの設定ファイルにおいてnxdomain-redirectオプションが
  指定されており（*6）、かつ、同オプションにおいて自身が権威を持つゾー
  ンが指定されていた場合にのみ該当します。

  （*6）デフォルトでは無効に設定されています。

  本脆弱性については、以下の脆弱性情報（*7）も併せてご参照ください。

  （*7）CVE - CVE-2016-9778
        <https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-9778>

▼一時的な回避策

  以下のいずれかを当該サーバーで実施することにより、本脆弱性を回避でき
  ます。

  ・nxdomain-redirectオプションの使用をやめ、NXDOMAINを応答させる
  ・Redirect namespace機能に替えて、Redirect zone機能を使用する

▼解決策

  本脆弱性を修正したパッチバージョン（BIND 9.11.0-P2）への更新、あるい
  は各ディストリビューションベンダーからリリースされる更新の適用を、速
  やかに実施してください。

▼参考リンク

  以下に、ISCから発表されている情報へのリンクを記載します。また、各ディ
  ストリビューションベンダーからの情報や前述のCVEの情報なども確認の上、
  適切な対応を取ることを強く推奨します。

  - ISC

   セキュリティアドバイザリ

    CVE-2016-9778: An error handling certain queries using the
                   nxdomain-redirect feature could cause a REQUIRE
                   assertion failure in db.c
    <https://kb.isc.org/article/AA-01442>

   パッチバージョンの入手先

    BIND 9.11.0-P2
    <https://ftp.isc.org/isc/bind9/9.11.0-P2/bind-9.11.0-P2.tar.gz>

▼連絡先

  本文書に関するお問い合わせは <dnstech-info@jprs.jp> までご連絡ください。

---------------------------------------------------------------------
▼更新履歴
  2017/01/12 11:00 初版作成