BIND 9.x のアップデートを (CVE-2013-2266)

BIND 9.x に欠陥が見つかったのでアップデートが推奨されています。

（緊急）BIND 9.xの致命的な脆弱性（過度のメモリ消費）について（2013年3月27日公開）

BIND 9.xにおける実装上の問題により、namedに対する外部からの攻撃が可 能となる脆弱性が、開発元のISCから発表されました。本脆弱性により namedが過度のメモリ消費を引き起こし、その結果としてnamedを含む当該サー バーで動作しているプログラム及びシステムに、サービスの異常動作や停止 につながる致命的な影響が発生する可能性があります。 本脆弱性は影響が大きく、かつキャッシュDNSサーバー及び権威DNSサーバー の双方が対象となることから、該当するBIND 9.xを利用しているユーザーは 関連情報の収集及び即時の対応を取ることを強く推奨します。

RHEL については RHEL6(bind) 及び RHEL5（bind97^*1）向けの Security Errata^*2 が出ているので、アップデートするとそれぞれ bind-9.8.2-0.17.rc1.el6_4.4 と bind97-9.7.0-17.P2.el5_9.1 に更新されるようです。既に CentOS 5.x でもアップデートが提供されていて、上記のバージョンにアップデートされることを確認しました。

† 参考

• CVE-2013-2266 [JP]: 不正に細工された正規表現によってnamedがメモリ不足になる | Internet Systems Consortium Knowledge Base
• ISC BIND 9 サービス運用妨害の脆弱性 (CVE-2013-2266) に関する注意喚起
• CVE - CVE-2013-2266

• ^*1: RHEL5系で bind97 を入れる方法
• ^*2: access.redhat.com | CVE-2013-2266