PowerDNS Recursor セキュリティアドバイザリ 2024-01

PowerDNS Recursor 4.8.6、4.9.3、5.0.2をリリースしました。

これらのリリースは、PowerDNS セキュリティ アドバイザリ 2024-01 に対する修正版です。ゾーン内の DNSSEC レコードがRecursor でのサービス拒否につながる問題がありました。

PowerDNSセキュリティアドバイザリ2024-01：ゾーン内のDNSSECレコードがRecursorのサービス拒否につながる可能性

• CVE: CVE-2023-50387 および CVE-2023-50868
• 日付：2024年2月13日
• 影響 PowerDNS Recursor 4.8.5、9.2、5.0.1 まで。
• 影響なし PowerDNS Recursor 4.8.6、9.3および5.0.2
• 深刻度：高
• 影響 サービス拒否
• 悪用 この問題は、攻撃者が操作したゾーンを公開することによって引き起こされる可能性がある。
• システム侵害のリスク：なし
• 解決策 パッチを適用したバージョンにアップグレードするか、DNSSEC検証を無効にする

攻撃者は操作したDNSSEC関連レコードを含むゾーンを公開することによって、RecursorがRFCで規定されたアルゴリズムを使用してそのゾーンへの問い合わせ結果を検証している間に、Recursorのリソース使用量が非常に多くなり、他の問い合わせの処理に影響を与え、サービス拒否に至る可能性があります。RFCに従うどのリゾルバも影響を受ける可能性があり、これは特定の実装の問題ではないことにご注意ください。

CVSSスコア: 7.5、 https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H&version=3.1 を参照ください。

対応策は次のいずれかです。

• パッチ適用済みのバージョンにアップグレードする
• dnssec=off または process-no-validate を設定して DNSSEC 検証を無効にします。 YAML 設定を使用する場合: dnssec.validate: off または process-no-validateにしてください。 これは、DNSSEC 検証に応じてクライアントに影響することに注意してください。

CVE-2023-50387 を DNS コミュニティに知らせてくれたドイツ国立応用サイバーセキュリティ研究センター ATHENE のElias Heftrig 氏、Haya Schulmann 氏、Niklas Vogel 氏、Michael Waidner 氏、特に検証にご協力いただいた Niklas Vogel氏に感謝いたします。 パッチ。 また、CVE-2023-50868 を発見し、責任を持って開示してくださった ISC の Petr Špaček 氏にも感謝いたします。

脆弱性と調整プロセスについて詳しく知りたい場合は、ISC のブログ投稿「BIND 9 セキュリティ・リリースとマルチベンダー脆弱性の処理」を参照してください。

詳細については、変更ログ (4.8.6  、4.9.3 、および 5.0.2 ) およびアップグレード ガイドを参照してください。 アップグレード ガイドでは、zoneToCache 関数に関連する 1 つの既知の問題について説明しています。

ソースコード(4.8.6 , 4.9.3 , 5.0.2 ) (署名ファイル 4.8.6 , 4.9.3, 5.0.2 )は、ダウンロードサーバからダウンロードできます。いくつかのLinuxディストリビューション用のパッケージは、PowerDNSリポジトリ からダウンロード可能です。

ご意見・ご感想はメーリングリスト、バグの場合はGitHubまでお寄せください。

バグや課題の報告、機能のリクエスト、プログラムの修正、機能実装を行ってくれたPowerDNSコミュニティのメンバーに感謝します。

執筆者：Otto Moerbeek

Senior Developer at PowerDNS