「BIND 9.20.27/9.21.25」リリース ─ NTA適用をEDEコード33で通知

RPZ更新を高速化、TSIG生成処理やdnssec-signzoneの安全性に関わる不具合も修正

8月19日 23:08

　Internet Systems Consortium(ISC)は8月17日(現地時間)、DNSサーバBINDのポイントリリースとなる「BIND 9.20.27/9.21.25」を発表した。

　「BIND 9.20.27」は、現在サポートされている安定系列のメンテナンスリリース。「BIND 9.21.25」は、将来の安定系列に向けて開発が進められている開発ブランチのリリースとなる。

　「BIND 9.20.27/9.21.25」では、Negative Trust Anchor(NTA)が適用された応答をExtended DNS Error(EDE)コード33で通知する機能の追加、RPZ更新処理の高速化のほか、複数の不具合修正が施されている。

　「BIND 9.20.27/9.21.25」のハイライトは次の通り。
〇Negative Trust Anchorが適用された応答にEDEコード33を付加
〇大規模なRPZポリシーゾーンの更新処理を高速化
〇NSECレコードによる非安全な委任の証明がzone cutを越えないよう修正
〇利用できないNSEC3チェーンを検証失敗として処理
〇非正規形式のRPZプレフィックスをエラーとして処理
〇OpenSSL秘密鍵ファイルの不正なLabelフィールドによるバッファ範囲外読み取りを防止
〇TSIG鍵生成時のコマンドラインインジェクション対策を修正
〇dnssec-signzoneで発生する可能性があったヒープ境界外書き込みを修正
〇不正なDNSTAPファイルによってdnstap-readがクラッシュする問題を修正
〇SolarisおよびillumosのSMFサポートを復元
〇GNU/Hurdでのコンパイル問題を修正
など。

　今回追加された「EDEコード33」は、Negative Trust Anchorが有効になっているためにDNSSEC検証を行わず、名前解決に成功したことをクライアントや運用者へ通知するもの。NTAは、DNSSECの設定不備などによって本来は検証に失敗するドメインについて、一時的に検証を無効化するために利用される。EDEコードを応答に含めることで、NTAが名前解決結果に影響していることを確認しやすくなった。

　「BIND 9.20.27/9.21.25」は、Webサイトから入手できる。

(川原龍人/びぎねっと)

この記事をシェアしてください