ソフトウェアには問題が付き物である。中にはそのままに捨て置かれるものもあるが，多くの場合，ベンダーにより修正される。システム管理者はその責務として，できる限り関連する情報を入手し，例えばパッチを適用するなどして，問題を修正しなければならない。

　筆者の持論では，「パッチの適用」や「セキュリティ上必要なアップデート」は習慣にすべきであると考えている。人間は習慣の動物であり，一度習慣化された物事に対しては，なかなかそこから離れない。逆に，習慣にない作業に対しては，なるべく避けて通りがちである。習慣になっていないために，パッチの適用をおろそかにしている事例を時たま見かける。読者の中で，システム管理者であるにもかかわらず，パッチを適用するという“よい習慣”を身に付けていない方がいるならば，ぜひ，身に付けてほしいと願う次第である。

　さて，前置きが長くなった。本題に入ろう。11月13日に公開されたCERTアドバイザリは，もう一読しただろうか。CERTアドバイザリは，筆者の所属する組織から邦訳版が公開されている。今回のアドバイザリは，著名なDNSサーバー・アプリケーション「BIND」で発見されたぜい弱性について触れている。

　CERTアドバイザリでは，「zxfr bug」，「srv bug」の2点の問題を指摘しているが，BINDの開発元であるISC（Internet Software Consortium）が提供しているアドバイザリは，さらに7点の問題を指摘している。

　また，CERTアドバイザリには，バージョン8.2.2-P6以前が影響を受けると記述されているが，ISCのアドバイザリには，BIND 4.x.x系列を利用している場合にも影響を受けると明記されている。もし，現在でもBIND 4.x.x系列を使った上で，DNSサーバーを運用している場合には，今回を機に8.2.2-P7，あるいはそれ以降のバージョンへ更新しよう。

　CERTアドバイザリで指摘されているぜい弱性のうち，より広範囲の組織で影響が生じる可能性があるぜい弱性は「zxfr bug」問題だろう。この問題は，BIND 8.2.2-P5までの Compressed Zone Transfer（ZXFR）の実装に由来する。以下の条件が満たされた場合に，このぜい弱性を突いた攻撃は可能である。

  • ZXFR（Compressed Zone Transfer）へのクエリが与えられた
  • 再帰的なクエリが許可されている
  • クエリ結果が，ネーム・サーバーのキャッシュから得られない

　これらの条件が重なった場合に，BINDのnamedがクラッシュし，DNSのサービスは停止してしまう。

　今回指摘されたぜい弱性に対する対策は，BINDの最新版，あるいは対策版へバージョン・アップすることである。最新版は9.0.1，対策版は8.2.2-P7である。コンパイル済みのBINDが提供されている環境では，コンパイル済みのBIND 8.2.2-P7以降へ更新しよう。ベンダーなどから最新版の提供があるはずだ。システム管理者自身がBINDを導入している場合や，まだコンパイル済みのバイナリが提供されていない場合には，ソースから実行バイナリを作成し，更新しよう。

　また，BIND以外のDNSサーバーの実装である「djbdns」への移行も検討に値するだろう。11月17日現在，djbdnsは今回のアドバイザリで指摘されたぜい弱性を持たない。

　なお，Windows 2000/NT 4.0上で動作するBIND 8.2.2-P5については，筆者が再現試験を行った時点では，UNIX上で動作するBINDと同様に，ぜい弱性が確認された。BIND 8.2.2-P7については，Windows 2000/NT 4.0版のバイナリがまもなく公開されるだろうが，それまでの間，ソースをコンパイルできる環境を持っている場合には，新しい実行バイナリを作成し，アップデートすることを勧めたい。

　コンパイル可能な環境を持っていない場合には，ISCのアドバイザリにあるように，信頼していないホストからのゾーン転送を受け付けないように，アクセス・コントロールを行う対策もある。しかしながら，筆者はこれを推奨しない。問題解決のためにはアップデートが必要であると考える。

　Windows 2000/NT 4.0で動作する，Microsoft製のDNSサーバーについても，同様の問題はないのかと心配するユーザーはいるだろうが，CERTアドバイザリによると，現在Microsoftにより調査中との事である。今後，この問題についての，同社が公開するセキュリティ情報に期待したい。

[CERT Advisory CA-2000-20「Multiple Denial-of-Service Problems in ISC BIND」]

[ラックによる「CERT Advisory（邦訳版）」]

[BIND Vulnerabilities（ISC）]

[DNSツール「djbdns」]

[「BIND for Windows 2000」（BIND 8.2.2-P5）]

坂井順行 (SAKAI Yoriyuki)
株式会社ラック　不正アクセス対策事業本部
sakai@lac.co.jp

　IT Proセキュリティ・サイトが提供する「今週のSecurity Check [一般編]」は，その週に起きたUNIX関連およびセキュリティ全般のニュースや動向をまとめた週刊コラムです。セキュリティ・ベンダーである「株式会社ラック」のスタッフの方を執筆陣に迎え，専門家の立場から解説していただきます。