BINDに重大な脆弱性、アップデートを強く勧告

 米国の非営利団体Internet Software Consortium(ISC)が米国時間3月3日に発表したBIND(Berkeley Internet Name Domain)9.2.2は、当初「メンテナンスリリース」とされていた。しかしISCは、9.2.2が旧バージョンのBIND 9.2.1の脆弱性を修正するものであることを認め、最新版へのアップデートを強く勧めている。

 ISCは3日にウェブサイトで、「BIND 9.2.2は、9.2.0のバグを修正するメンテナンスリリースであり、新たな機能は追加していない」と説明していた。しかし5日にはサイトが更新され、ISCがBINDの深刻な脆弱性を認識し、アップデートを「強く勧告する」という内容が書き加えられている。

 BINDとは、インターネットで広く使われているドメイン・ネーム・サーバ。ドメイン・ネーム・サーバとは、数字で表されたIPアドレスとドメインネームを一致させる役割を担う。

 BIND 9.2.1は、LIBBINDでインストールした場合、リモートで悪用可能なバッファオーバーフローを引き起こす問題がある。一般的に利用されているOpenSSLライブラリを使った際も脆弱性が生じる可能性がある。いずれも非デフォルトのインストールオプションを用いた場合であり、BIND自体よりSSLライブラリで改善すべき点が多い。

 しかし、ISCの発表のしかたを非難する声もあがっている。米SANS Instituteのインターネット・ストーム・センター最高技術責任者(CTO)のJohannes Ulrichは、「BINDのソフトウェア更新が緊急を要することをきちんと伝えていない」と指摘した。オーストラリア在住のセキュリティコンサルタント、Adam Pointonも、ISCが問題について詳しい状況報告をする必要があると述べている。「一般ユーザーだけでなく、ベンダーも困惑するだろう。第一、この問題について理解している一般ユーザーはまだいない」(Pointon)

この記事は海外CNET Networks発のニュースをCNET Japanが日本向けに編集したものです。

CNET Japanの記事を毎朝メールでまとめ読み(無料)

-PR-企画特集

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]