---------------------------------------------------------------------
■（緊急）BIND 9.18.xの脆弱性（DNSサービスの停止）について（CVE-2023-4236）
- BIND 9.18系列のみが対象、バージョンアップを強く推奨 -
株式会社日本レジストリサービス（JPRS）
初版作成 2023/09/21（Thu）
---------------------------------------------------------------------
▼概要
BIND 9.18.xにおける実装上の不具合により、namedに対する外部からのサー
ビス不能（DoS）攻撃が可能となる脆弱性が、開発元のISCから発表されまし
た。本脆弱性により、提供者が意図しないDNSサービスの停止が発生する可
能性があります。
該当するBIND 9のパッケージを利用しているユーザーは、各ディストリビュー
ションベンダーからリリースされる情報の収集やバージョンアップなど、適
切な対応を速やかに取ることを強く推奨します。
本脆弱性はBIND 9.18系列のnamedにおいて、DNS over TLSでの接続を有効に
している場合のみ対象となります。
▼詳細
▽本脆弱性の概要
DNS over TLSはRFC 7858で定義される、DNSクライアントとフルリゾルバー
（キャッシュDNSサーバー）の間の通信をTLSで暗号化することで、利用者の
プライバシーを保護するための機能です。
BIND 9.18系列にはDNS over TLSの実装に不具合があり、DNS over TLSのク
エリの負荷が高い状況において、namedが異常終了する可能性があります
[*1][*2]。
[*1] 本脆弱性によりnamedが異常終了した場合、assertion failureを引き
起こした旨のメッセージがログに出力されます。
[*2] TLSの実装が異なるため、DNS over HTTPSは本脆弱性の対象外となりま
す。
そのため、外部の攻撃者がこの状況を発生させることができた場合、当該サー
バーのDNSサービスを停止させることが可能になります。
▽対象となるバージョン
本脆弱性は、以下のバージョンのBIND 9が該当します。
・9.18系列：9.18.0-9.18.18
▽影響範囲
ISCは、本脆弱性の深刻度（Severity）を「高（High）」と評価しています。
本脆弱性は、namedの設定ファイル（通常はnamed.conf）の「listen-on」ス
テートメントにおいて、「tls」が設定されている場合のみ対象となります。
本脆弱性については、以下の脆弱性情報[*3]も併せてご参照ください。
[*3] CVE Record | CVE
<https://www.cve.org/CVERecord?id=CVE-2023-4236>
▼一時的な回避策
DNS over TLSを外部に提供していない場合、DNS over TLSを無効に設定する
ことで、本脆弱性を回避できます。
▼解決策
本脆弱性を修正したパッチバージョン（BIND 9.18.19）への更新、あるいは、
各ディストリビューションベンダーからリリースされる更新の適用を、速や
かに実施してください。
▼参考リンク
以下に、ISCから発表されている情報へのリンクを記載します。また、各ディ
ストリビューションベンダーからの情報や前述のCVEの情報なども確認の上、
適切な対応を取ることを強く推奨します。
- ISC
セキュリティアドバイザリ
CVE-2023-4236: named may terminate unexpectedly under high
DNS-over-TLS query load
<https://kb.isc.org/docs/cve-2023-4236>
パッチバージョンの入手先
BIND 9.18.19
<https://ftp.isc.org/isc/bind9/9.18.19/bind-9.18.19.tar.xz>
▼連絡先
本文書に関するお問い合わせは <dnstech-info@jprs.co.jp> までご連絡くだ
さい。
---------------------------------------------------------------------
▼更新履歴
2023/09/21 11:00 初版作成
株式会社日本レジストリサービス Copyright©2001-2024 Japan Registry Services Co., Ltd.