旬のトピック、最新ニュースのマピオンニュース。地図の確認も。

BIND 9のマニュアル、実際の挙動と異なる説明

2018年09月24日17時23分 / 提供:マイナビニュース

JPCERTコーディネーションセンター(Japan Computer Emergency Response Team Coordination Center:JPCERT/CC)は9月20日、「Japan Vulnerability Notes(JVN)」に掲載した記事「JVNVU#90728793: ISC BIND 9 の Update policy 機能の説明が実際の挙動と異なっている問題」において、BIND 9のマニュアルで生じている問題について伝えた。

誤った内容が記載されているプロダクトおよびバージョンは次のとおり。

BIND 9.11.4およびこれよりも前のバージョン
BIND 9.12.2およびこれよりも前のバージョン

ISC BIND では、Dynamic DNS (DDNS) による DNS レコードのアップデートを制御するために update-policy という機能が提供されている。クライアントから送られてくる DNS レコードのアップデートリクエストの処理を、リクエストで使用される鍵情報に基づいて制限するようなルールを設定することができる。設定できるルールの種類は複数用意されているが、実装された当初、これらのルールの挙動についてマニュアル (ARM, Administrator's Reference Manual) には記載されていなかった。

その後 change #3112 にて説明が追加されたが、 krb5-subdomain と ms-subdomain の2つのルールに関する説明が実際の挙動と異なっていた。これにより、ARM の説明では許可しないはずのアップデートリクエストを受け付けてしまう可能性があるという。

マニュアルが修正されたバージョンは2018年10月にリリースが予定されており、次のバージョンではマニュアルが修正される見通しとされている。

BIND 9.11.5 よりも前のバージョン
BIND 9.12.3 よりも前のバージョン

対策としては、更新を許可する範囲を独立したゾーンとして設定することが紹介されている。例えば、example.com ゾーンの一部の更新を許可するため sub.example.com ゾーンを設定し、適切な update-policy の設定を行う。

また、設定ファイルの解析処理に関するバグ修正とともに、新たな種類のルール krb5-selfsub と ms-selfsub の提供が表明されている。開発者が提供する情報をもとに、最新版へアップデートするとともにゾーン設定の内容を適切に行うことが望まれる。

続きを読む ]

このエントリーをはてなブックマークに追加

関連してるっぽい地図

あなたにおすすめの記事

関連記事

ネタ・コラムカテゴリのその他の記事

マピオンニュース ページ上部へ戻る