JVNVU#98706074
ISC BIND にサービス運用妨害 (DoS) の脆弱性

ISC (Internet Systems Consortium) が提供する BIND には、TCP クライアントの同時接続数の制限を迂回され、システムリソースが過度に消費されてしまう脆弱性が存在します。

• BIND 9.11.6-P1 から 9.11.12 まで
• BIND 9.12.4-P1 から 9.12.4-P2 まで
• BIND 9.14.1 から 9.14.7 まで
• BIND 9 Supported Preview Edition の BIND 9.11.5-S6 から 9.11.12-S1 まで
• BIND 9.15 development branch の BIND 9.15.0 から 9.15.5 まで

BIND には、named に対して同時に接続可能な TCP クライアントの数を制限する機能があります。2019年 4月に公開された CVE-2018-5743 への対応として、TCP クライアントからの同時接続数を計算する方法が変更されました。

一方で BIND では、一つの TCP 接続で多数の DNS クエリを並列に処理することができる機能が TCP-pipelining として提供されており、デフォルトで有効に設定されています。
TCP-pipelining が有効な状態においては、一つの TCP クライアントから複数の DNS クエリが発行されると、UDP 接続時や TCP-pipelining が無効な状態における TCP 接続時と同様のシステムリソースが、受け取ったクエリ毎に消費されます。多数のクエリを含む TCP 接続がクローズされた場合、それぞれのクエリに割り当てられたリソースの開放処理が同時に発生し、サーバが一時的あるいは断続的に応答不能な状態に陥る可能性があります。

リモートの攻撃者が上記のような状況を発生させることにより、システムリソースが過度に消費され、サービスが一時的あるいは断続的に停止させられる可能性があります。

ワークアラウンドを実施する
次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。

• TCP-pipelining を無効に設定し、 BIND を再起動する

    keep-response-order { any; };

なお、接続中の TCP クライアントで有効化された設定を破棄するために、設定の 'reload' や 'reconfig' ではなく BIND の再起動が必要になります。

アップデートする
開発者が提供する情報をもとに、使用している BIND バージョンに対応したパッチを適用してください。

• BIND 9.11.13
• BIND 9.14.8
• BIND 9.15.6
• BIND 9.11.13-S1 (BIND Supported Preview Edition)

ISC によると、このパッチによりサーバ側のメモリリーク問題が修正されます。
パッチ適用後も、TCP-pipelining により膨大なクエリが発生した場合に、一部の応答がドロップされる可能性があります。