詳細情報公開で危険度高まる

DNSサーバの脆弱性、「パッチの即時適用」を改めて呼び掛け

2008/07/24

　「手元のDNSサーバのバージョンや設定をチェックし、必要ならば至急パッチの適用を」。7月22日以降、複数のセキュリティ組織やベンダが、改めてDNSサーバの脆弱性に対する注意を喚起している。

　今回問題となっている脆弱性は、7月9日に公にされた。複数のDNSソフトウェアに、細工を施されたデータを受け取ると、偽のDNSレコードを記憶してしまう「キャッシュポイズニング」の脆弱性が存在する。悪用され、DNSキャッシュサーバの情報が書き換えられてしまうと、正規のサイトにアクセスしたつもりの一般ユーザーが、それと知らないうちに悪意あるWebサイトに誘導される恐れがある。

　この脆弱性は、ISC BINDやMicrosoft DNS Server／クライアントなど、広範なDNSソフトウェアに存在する。RedHatやDebian GNU/Linuxといった主要なディストリビューションにも含まれているため、注意が必要だ。また、DNSソフトウェア単体だけでなく、シスコシステムズやジュニパーネットワークス、ヤマハなどのルータ製品が搭載しているファームウェアも、この脆弱性の影響を受ける。

　問題を悪化させているのは、脆弱性に関する詳細な情報が公開されてしまったことだ。当初、8月に行われる「Black Hat」カンファレンスで詳細が発表される予定だったが、それに先立つ7月22日、インターネット上で脆弱性の詳細が公開されてしまった。これを見た攻撃者が、早速攻撃コードに転用する可能性がある。

　幸いなことに、BINDやMicrosoftなど、主だったパッチはすでにリリースされていることから、セキュリティ関連組織や製品開発元では、DNSサーバの管理者に対し、至急パッチを適用して対処するよう勧めている（同時に設定変更が必要となる場合もある）。もしパッチの適用が困難な場合は、recursive queryに対するアクセス制限やフィルタリングを実施することで、攻撃の可能性を減らすことができる。

　なお、日本レジストリサービスの情報によると、パッチ適用にはいくつか注意が必要だ。まず、BINDなど一部のソフトウェアでは、パッチ適用の結果、DNSキャッシュサーバのパフォーマンスが若干低下する問題が報告されている。ISCではこれに対処する緊急リリースを予定しているという。

　また、提供されているパッチは、「DNS問い合わせ元ポートのランダム性を向上させることにより、キャッシュポイズニング攻撃が成立する確率を相対的に下げる」効能を持ったものだ。このため、従来は固定／半固定だったDNS問い合わせ元ポートが、毎回変動することになる。この結果、一部のファイアウォールやIDSで誤動作／誤検知が発生する恐れがある点にも注意が必要という。