BIND 9.x のDoS攻撃に対する注意喚起 (CVE-2013-4854)

JPRS から BIND が DoS 攻撃を受ける脆弱性について注意喚起^*1を出しています。

対象となるバージョンはBIND 9.7.0以降のすべてのバージョンのBIND 9ですが、サポートが終了している 9.7に関してはパッチはリリースされていないことに注意が必要です。今回の脆弱性が面倒なのは、注意喚起文書の影響範囲に記載されているとおり、namedの設定ファイル（named.conf）によるアクセスコントロール（ACL） の設定では、影響を回避・軽減できません。よって、選択肢は速やかにパッチ済みのバージョンにアップグレードするしかありません。

今回の脆弱性は CVE - CVE-2013-4854^*2 に起因するのようですが、RHEL のデータベースで CVE-2013-4854 について調べてみると RHEL5 の bind パッケージや RHEL5, RHEL6 bind97 パッケージについては影響を受けないと記載されているので、RHEL5 で bind パッケージを使っている人は一安心ということでしょうか。

access.redhat.com | CVE-2013-4854

This issue did not affect the versions of bind as shipped with Red Hat Enterprise Linux 5. It does affect the versions of bind97 as shipped with Red Hat Enterprise Linux 5 and the versions of bind as shipped with Red Hat Enterprise Linux 6.

† 2013/07/29 追記

すいません。英語を読み間違えていたようです。
影響をうけないは RHEL5の bind だけで, RHEL5 の bind97 や RHEL6 の bind は does affect なので影響を受けるようですね。

† 2013/07/30 追記

RedHat から RHEL5 (bind97) と RHEL6 (bind) 向けのエラータ（RHSA-2013:1115, RHSA-2013:1114）が出ました。

† 2013/07/31 追記

CentOS5 で bind97 32:9.7.0-17.P2.el5_9.2 が配信されていることを確認できました。

• ^*1: （緊急）BIND 9.xの脆弱性（DNSサービスの停止）について（2013年7月27日公開）
• ^*2: CVE-2013-4854 [JP]: 特別に細工されたクエリによってBINDが異常終了する | Internet Systems Consortium Knowledge Base