BINDに重大な脆弱性、アップデートを強く勧告

　米国の非営利団体Internet Software Consortium（ISC）が米国時間3月3日に発表したBIND（Berkeley Internet Name Domain）9.2.2は、当初「メンテナンスリリース」とされていた。しかしISCは、9.2.2が旧バージョンのBIND 9.2.1の脆弱性を修正するものであることを認め、最新版へのアップデートを強く勧めている。

　ISCは3日にウェブサイトで、「BIND 9.2.2は、9.2.0のバグを修正するメンテナンスリリースであり、新たな機能は追加していない」と説明していた。しかし5日にはサイトが更新され、ISCがBINDの深刻な脆弱性を認識し、アップデートを「強く勧告する」という内容が書き加えられている。

　BINDとは、インターネットで広く使われているドメイン・ネーム・サーバ。ドメイン・ネーム・サーバとは、数字で表されたIPアドレスとドメインネームを一致させる役割を担う。

　BIND 9.2.1は、LIBBINDでインストールした場合、リモートで悪用可能なバッファオーバーフローを引き起こす問題がある。一般的に利用されているOpenSSLライブラリを使った際も脆弱性が生じる可能性がある。いずれも非デフォルトのインストールオプションを用いた場合であり、BIND自体よりSSLライブラリで改善すべき点が多い。

　しかし、ISCの発表のしかたを非難する声もあがっている。米SANS Instituteのインターネット・ストーム・センター最高技術責任者（CTO）のJohannes Ulrichは、「BINDのソフトウェア更新が緊急を要することをきちんと伝えていない」と指摘した。オーストラリア在住のセキュリティコンサルタント、Adam Pointonも、ISCが問題について詳しい状況報告をする必要があると述べている。「一般ユーザーだけでなく、ベンダーも困惑するだろう。第一、この問題について理解している一般ユーザーはまだいない」（Pointon）