#739 ISC BIND に複数の脆弱性

今回は、サイバーセキュリティーの重要なニュースを取り上げます。タイトルは「ISC BIND に複数の脆弱性」です。独立行政法人情報処理推進機構（IPA）と一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）が、ISC BINDにおける複数の脆弱性について発表しました。このラジオを通じて、リスナーの皆さんは、脆弱性の影響や対策についての理解を深めることができるでしょう。

ISC BINDは、インターネット上で広く使用されているDNSサーバーソフトウェアです。今回の発表では、BINDにおける複数の脆弱性が指摘されています。具体的には、CVE-2024-11187とCVE-2024-12705という2つの脆弱性が報告されています。CVE-2024-11187は、特定のクエリがサーバーのリソースを過剰に消費させる可能性があり、サーバーが他のクライアントのクエリに応答できなくなるという問題です。一方、CVE-2024-12705は、DNS-over-HTTPS（DoH）を使用するクライアントが細工されたトラフィックを送信することで、リゾルバのCPUやメモリが枯渇し、パフォーマンスが低下するという問題です。これらの脆弱性に対する対策として、開発者はパッチバージョンへのアップデートを推奨しています。具体的には、9.18.33、9.20.5、9.21.4、9.18.33-S1へのアップデートが推奨されています。

まずCVE-2024-11187についてですが、この脆弱性は、特定のクエリがサーバーのリソースを過剰に消費させる可能性があります。これにより、サーバーが他のクライアントのクエリに応答できなくなり、サービスの停止や遅延が発生する可能性があります。特に、権威サーバやリゾルバが影響を受けるため、インターネット全体のDNS解決に影響を及ぼす可能性があります。次にCVE-2024-12705ですが、これはDNS-over-HTTPS（DoH）を使用するクライアントが細工されたトラフィックを送信することで、リゾルバのCPUやメモリが枯渇し、パフォーマンスが低下するという問題です。これにより、正規のクライアントがDNS解決サービスにアクセスできなくなる可能性があります。これらの影響は、特に大規模なネットワークやサービスプロバイダにとって深刻な問題となる可能性があります。

脆弱性を修正するための最も効果的な対策は、開発者が提供する最新のパッチバージョンにアップデートすることです。具体的には、BINDのバージョンを9.18.33、9.20.5、9.21.4、または9.18.33-S1にアップデートすることが推奨されています。これにより、報告された脆弱性が修正され、サーバーの安全性が向上します。また、アップデートを行う際には、事前にバックアップを取ることや、アップデート後の動作確認を行うことも重要です。さらに、ネットワークの監視を強化し、異常なトラフィックやリソースの消費を早期に検知するための体制を整えることも有効です。これにより、脆弱性が悪用される前に迅速に対応することが可能となります。

脆弱性の存在を確認するためには、まず使用しているBINDのバージョンを確認することが重要です。BINDのバージョン情報は、サーバーの設定ファイルやログファイル、またはコマンドラインから確認することができます。次に、確認したバージョンが脆弱性の影響を受けるかどうかを、公式のセキュリティーアドバイザリやJVNの情報と照らし合わせて確認します。また、脆弱性スキャナーやセキュリティーツールを使用して、システム全体の脆弱性をスキャンすることも有効です。これにより、BIND以外のソフトウェアに存在する脆弱性も同時に確認することができます。定期的なスキャンと監視を行うことで、脆弱性の早期発見と対策が可能となります。

脆弱性が悪用されるリスクを低減するためのベストプラクティスとして、まずは定期的なソフトウェアのアップデートが挙げられます。特に、セキュリティーパッチがリリースされた際には、迅速に適用することが重要です。また、ネットワークの監視を強化し、異常なトラフィックやリソースの消費を早期に検知するための体制を整えることも有効です。さらに、アクセス制御を強化し、不要なサービスやポートを閉じることで、攻撃の可能性を減少させることができます。加えて、従業員や管理者に対するセキュリティー教育を行い、フィッシングやソーシャルエンジニアリングに対する意識を高めることも重要です。これらの対策を組み合わせることで、脆弱性が悪用されるリスクを大幅に低減することが可能です。

最近のセキュリティートレンドとして、DNS-over-HTTPS（DoH）の普及が挙げられます。DoHは、DNSクエリをHTTPSプロトコルで暗号化して送信する技術で、プライバシーの向上が期待されています。しかし、今回のCVE-2024-12705のように、DoHを悪用した攻撃も増加しているため、DoHの実装においては慎重な設計と監視が求められます。また、サイバー攻撃の手法が高度化しており、特にリソースを過剰に消費させるタイプの攻撃が増加しています。これに対抗するためには、リソースの監視と管理を強化し、異常な消費を早期に検知することが重要です。さらに、セキュリティーコミュニティーでは、脆弱性の早期発見と情報共有が進んでおり、これにより迅速な対応が可能となっています。これらのトレンドを踏まえ、組織はセキュリティー対策を継続的に見直し、強化することが求められます。