BINDの脆弱性情報(Medium: CVE-2019-6475, CVE-2019-6476)

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

10/16/2019にBINDの脆弱性情報(Medium: CVE-2019-6475, CVE-2019-6476)が公開されています。今回は、これらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。




一次情報源

BIND 9 Security Vulnerability Matrix

CVE番号 影響するバージョン プライオリティ 攻撃 CVSS Score CVSS Vector
CVE-2019-6475 BIND 9.14.0 -> 9.14.6 , 9.15.0 -> 9.15.4(dev branch) Medium リモート CVSS Score: 5.9 CVSS Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
CVE-2019-6476 BIND 9.14.0 -> 9.14.6 , 9.15.0 -> 9.15.4(dev branch) Medium リモート CVSS Score: 5.9 CVSS Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6475
    • Mirror Zone(ミラーゾーン)によるスプーフィング攻撃の可能性
    • 重要度 - Medium
    • Mirror Zoneは再帰的に他のサーバから提供されるゾーンデータをキャッシュする機能です。Mirror ZoneはSecondaryタイプのZoneに似ていますが、DNSSECによる検証の対象となっており、検証できない場合にはBINDが従来の再帰を利用するようにフォールバックする点が異なります。しかしながら、ゾーンデータ有効性チェックのエラーにより、攻撃社が構成済みのトラストアンカーで検証されたゾーンデータを、攻撃者が偽造したデータに置き換えることが可能です。
    • 迂回法法:Mirror Zoneを無効にします。
  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6476
    • QNAME minimizationコードの欠陥によるアサーションエラーの可能性
    • 重要度 - Medium
    • QNAME minimizationをサポートするために追加されたコードに欠陥があり、フォワーダーがクエリを解決するのではなく参照を返す場合、namedがアサーションエラーで終了する可能性があります。
    • 迂回法法:"qname-minimization disabled;" をnamed.confに設定し、QNAME minimizationを無効にします。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteKatello、Spacewalk等を使うと管理が便利でしょう。

また、サービスの再起動が発生しますので、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。


セキュリティ系連載案内

セミナー情報1

2019/10/29(火) 18:30-20:30に「「やってはイケナイ」をやってみよう 第3弾_in 大阪 」と題しましたセミナーを開催します。このセミナーでは、実際に色々な「やってはイケナイ」をデモを交えて行い、実際にどのような問題が発生するのかを確認し、その様な万が一の場合を防ぐために行っておくべき対策を紹介していきます。

また、(ゲリラ的にOSSセキュリティ技術の会の所属としてですが)先日サンディエゴで開催されましたLinux Security Summit 2019の情報共有も行う予定です。

プログラム内容と申し込みの詳細につきましては、https://sios.connpass.com/event/148268/をご覧下さい。

皆様の申込みをお待ちしております。


セミナー情報2

コンピュータセキュリティシンポジウム2019(長崎)が2019年10月21日(月) ~ 10月24日(木)で開催されます。

こちらですが、OSSセキュリティ技術の会も後援になっており、オープンソースソフトウェア(OSS)セキュリティ技術トラック(略称:OWSトラック) も用意しております。


OSSに関するお困りごとは サイオス OSSよろず相談室まで

サイオスOSSよろず相談室 では、OSSを利用する中で発生する問題に対し、長年培ってきた技術力・サポート力をもって企業のOSS活用を強力に支援します。Red Hat Enterprise Linux のほか、CentOS をご利用されている環境でのサポートも提供いたします。

前へ

MySQLの脆弱性(Oracle Critical Patch Update Advisory - Oct 2019)

次へ

ProFTPDの脆弱性情報(Moderate:CVE-2019-18217)