DNS関連技術情報のトップへ戻る
---------------------------------------------------------------------
■（緊急）BIND 9.xの脆弱性（DNSサービスの停止・リモートコード実行）
  について（CVE-2021-25216）
  - GSS-TSIGが有効に設定されている場合のみ対象、バージョンアップを強く推奨 -

                                株式会社日本レジストリサービス（JPRS）
                                            初版作成 2021/04/30（Fri）
---------------------------------------------------------------------
▼概要

  BIND 9.xにおける実装上の不具合により、namedに対する外部からの攻撃が
  可能となる脆弱性が、開発元のISCから発表されました。本脆弱性により、
  提供者が意図しないサービスの停止や、リモートコード実行が可能になる可
  能性があります[*1]。

  [*1] ISCでは、本脆弱性の影響はCPUアーキテクチャーに依存しており、リ
       モートコード実行は32ビットプラットフォームで可能になり得る旨を
       発表しています。

  該当するBIND 9のパッケージを利用しているユーザーは、各ディストリビュー
  ションベンダーからリリースされる情報の収集やバージョンアップなど、適
  切な対応を速やかに取ることを強く推奨します。

  本脆弱性はGSS-TSIG（後述）の実装上の不具合に由来するものであり、当該
  機能を使うオプションが設定されている場合のみ対象となります。デフォル
  トの設定では、対象となりません。

▼詳細

▽本脆弱性の概要

  GSS-TSIGはRFC 3645で定義される、GSS-API[*2]に基づいた認証の枠組みを
  TSIG[*3]に追加するための仕組みです。

  [*2] RFC 2743で定義される、セキュリティサービスを提供する際のアプリ
       ケーションプログラムインターフェース（API）の仕様。

  [*3] RFC 8945で定義される、DNSの通信（トランザクション）に電子署名を
       付加し、通信の安全性を高めるための仕組み。

  BIND 9.xにはGSS-APIで使われるSPNEGO[*4]の実装にバッファオーバーフロー
  を引き起こす不具合があり、GSS-TSIGが有効に設定されている場合、外部か
  らの攻撃が可能になります。

  [*4] RFC 4178で定義される、GSS-APIにおけるネゴシエーションの仕組み。

▽対象となるバージョン

  本脆弱性は、BIND 9.5.0以降のすべてのバージョンのBIND 9が該当します。

  なお、ISCではサポートを終了した系列のセキュリティパッチはリリースし
  ないと発表しています。

▽影響範囲

  ISCは、本脆弱性の深刻度（Severity）を「高（High）」と評価しています。

  本脆弱性は、namedの設定ファイル（通常はnamed.conf）でGSS-APIに関する
  「tkey-gssapi-keytab」または「tkey-gssapi-credential」オプションを指
  定している場合に対象となります。当該機能は、BIND 9.xをActive
  Directoryのドメインコントローラーと組み合わせた混合サーバー環境に加
  え、BIND 9.xがSambaと統合されているネットワークでも使われています。

  ISCでは、本脆弱性の影響はCPUアーキテクチャーに依存しており、64ビット
  アーキテクチャではサーバーのクラッシュ、32ビットアーキテクチャではサー
  バーのクラッシュとリモートコード実行が可能になり得るとしています。

  なお、ISCでは本脆弱性への対応として、2021年4月にリリースするBIND
  9.11系列と9.16系列から、ISCによるSPNEGOの実装を削除する旨を発表して
  います。

  本脆弱性については、以下の脆弱性情報[*5]も併せてご参照ください。

  [*5] CVE - CVE-2021-25216
       <https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-25216>

▼一時的な回避策

  他の認証方法に切り替え可能である場合、GSS-TSIGを使わないように設定を
  変更することで、本脆弱性を回避できます。

  また、一部のプラットフォームでは、BINDをビルドする際のconfigureスク
  リプトのコマンドラインで「--disable-isc-spnego」を指定することで、本
  脆弱性を含まないnamedを作成できます。この場合、namedにSPNEGOが組み込
  まれず、結果としてGSS-APIが使えなくなる可能性があります。

  GSS-API全体を使わない場合、同じくコマンドラインで「--without-gssapi」
  を指定することで、GSS-APIの機能を含まず、結果として本脆弱性を含まな
  いnamedを生成できます。

▼解決策

  本脆弱性を修正したパッチバージョン（BIND 9.16.15/9.11.31）への更新、
  あるいは、各ディストリビューションベンダーからリリースされる更新の適
  用を、速やかに実施してください。

▼参考リンク

  以下に、ISCから発表されている情報へのリンクを記載します。また、各ディ
  ストリビューションベンダーからの情報や前述のCVEの情報なども確認の上、
  適切な対応を取ることを強く推奨します。

  - ISC

   セキュリティアドバイザリ

    CVE-2021-25216: A second vulnerability in BIND's GSSAPI security
                    policy negotiation can be targeted by a buffer
                    overflow attack
    <https://kb.isc.org/docs/cve-2021-25216>

   パッチバージョンの入手先

    BIND 9.16.15
    <https://ftp.isc.org/isc/bind9/9.16.15/bind-9.16.15.tar.xz>
    BIND 9.11.31
    <https://ftp.isc.org/isc/bind9/9.11.31/bind-9.11.31.tar.gz>

▼連絡先

  本文書に関するお問い合わせは <dnstech-info@jprs.co.jp> までご連絡くだ
  さい。

---------------------------------------------------------------------
▼更新履歴
  2021/04/30 10:00 初版作成
株式会社日本レジストリサービス　Copyright©2001-2024 Japan Registry Services Co., Ltd.