「BIND 9」SPNEGOの実装に脆弱性、修正版がリリース

「BIND 9」のSPNEGO実装にバッファオーバーフローを引き起こす不具合が発見された。GSS-TSIGが有効に設定されている場合、外部からの攻撃が可能になるという。

　対象となるバージョンはBIND 9.5.0以降のすべてのバージョン。この脆弱性は「BIND 9.16.12/9.11.28」で修正されている。なお、ISCではサポートを終了した系列のセキュリティパッチはリリースしないとしている。

　一時的な回避策としては、GSS-TSIGを利用しないように設定を行うことでこの脆弱性を回避できる。また、一部のプラットフォームでは、BINDをビルドする際のconfigureスクリプトのコマンドラインで「–disable-isc-spnego」を指定することで、SPENGOを含まないnamedをビルドすることができる。なお、この場合GSS-APIが使えなくなる可能性がある。

(川原 龍人/びぎねっと)

[関連リンク]
アナウンス
CVE-2020-8625