ISC BIND 9にサービス運用妨害の脆弱性、アップデートが必要

JPCERTコーディネーションセンター（JPCERT/CC: Japan Computer Emergency Response Team Coordination Center）は8月19日(現地時間)、「JVNVU#95033866: ISC BINDにサービス運用妨害（DoS）の脆弱性」において、ISC（Internet Systems Consortium）が提供しているDNSサーバソフトウェアの「BIND 9」に脆弱性が存在すると伝えた。この脆弱性を悪用されると、攻撃者によって影響を受けたシステムに対するサービス運用妨害（DoS）攻撃が可能になるという。BIND 9は幅広く利用されているソフトウェアであるため、影響範囲が大きく注意が必要。

この脆弱性はCVE-2021-25218として追跡されており、詳細はISCによる次のセキュリティアドバイザリにまとめられている。

CVE-2021-25218: A too-strict assertion check could be triggered when responses in BIND 9.16.19 and 9.17.16 require UDP fragmentation if RRL is in use - Security Advisories

CVE-2021-25218: A too-strict assertion check could be triggered when responses in BIND 9.16.19 and 9.17.16 require UDP fragmentation if RRL is in use

CVE-2021-25218は、応答速度制限（RRL）が有効になっている環境で、namedが有効なインタフェースの最大転送単位（MTU）よりも大きい応答をUDPで送信しうとした場合にアサーションエラーを引き起こすというもの。第三者に悪用されると、リモートから悪意を持って加工したデータが送られた場合にnamedが異常終了する可能性がある。

対象となるプロダクトおよびバージョンは次のとおり。これ以外のバージョンは影響を受けないとのこと。