JVNVU#92227071
ISC BIND の一部のバージョンにおいて再帰的クエリが不適切に許可される問題

ISC BIND の一部のバージョンでは、再帰的クエリが不適切に許可される問題が存在します。

• BIND 9.9.12
• BIND 9.10.7
• BIND 9.11.3
• BIND 9.12.0 から 9.12.1-P2
• BIND the development release 9.13.0
• BIND 9.9.12-S1
• BIND 9.10.7-S1
• BIND 9.11.3-S1
• BIND 9.11.3-S2

ISC BIND では、明示的に設定しない場合の allow-recursion の初期値は次のように設定されることが想定されています。

• "recursion no;" が設定されているとき: 再帰的クエリを許可しない
• "recursion yes;" の設定とともに allow-query-cache や allow-query でアクセスを許可する範囲が明示的に設定されているとき: allow-query-cache や allow-query の値を継承する
• "recursion yes;" が有効な状態 (明示的に設定しないときの初期値は yes) で allow-query-cache や allow-query が明示的に設定されていないとき: "allow-recursion {localhost; localnets;};" が設定される

他のサイトに対する DNS リフレクタ攻撃に使われたり、ネームサーバのキャッシュの状況を外部から取得されたりする可能性があります。

ワークアラウンドを実施する
named.conf で ACL を明示的に指定することで、本脆弱性の影響を軽減することが可能です。

• 固有の設定をする必要がなければ "allow-query {localnets; localhost;};" を設定する
• allow-recursion、allow-query、allow-query-cache を明示的に設定する
• 再帰的問い合わせを受け付ける必要がなければ "recursion no;" を設定する