menu

パソコンの情報漏洩ニュース

menu

ISC、BINDに複数の脆弱性を確認

ホーム > パソコンの情報漏洩ニュース > 注意喚起・脆弱性 > ISC、BINDに複数の脆弱性を確認
  • 元記事：CVE-2017-3140: An error processing RPZ rules can cause named to loop endlessly after handling a query
  • 元記事：CVE-2017-3141: Windows service and uninstall paths are not quoted when BIND is installed
  • HP：ISC
    • 発表日時 2017/6/14

    BINDに複数の脆弱性が確認された。影響を受けるシステムは脆弱性によって異なるが、CVE-2017-3140はBIND 9.9.10、9.10.5、9.11.0から9.11.1、9.9.10-S1、9.10.5-S1、CVE-2017-3141はBIND 9.2.6-P2 から 9.2.9、BIND 9.3.2-P1 から 9.3.6、BIND 9.4.0 から 9.8.8、BIND 9.9.0 から 9.9.10、BIND 9.10.0 から 9.10.5、BIND 9.11.0 から 9.11.1、BIND 9.9.3-S1 から 9.9.10-S1、BIND 9.10.5-S1が影響を受ける。
    CVE-2017-3140はRPZの内部処理の不具合により、RPZが有効に設定され、NSDNAMEまたはNSIPのポリシールールが使用されている場合に、受信したDNSクエリにより、ポリシールールが処理されるとクエリの処理によりnamedが無限ループ状態となり、サービス運用妨害を引き起こす恐れがある。
    CVE-2017-3141はWindows版BINDのインストーラーに引用符で囲まれていないプログラムパスが使用されていたことによる権限昇格の脆弱性が存在する。解決策として、BIND 9 9.10-P1、9 10.5-P1、9 11.1-P1、9.9.10-S2、9.10.5-S2が公開されており、アップデートによりこの脆弱性は修正される。