日本レジストリサービス(JPRS)は11月11日、PowerDNS Authoritative Serverの脆弱性(DNSサービスの停止)について注意喚起を行った。
この注意喚起は、PowerDNS Authoritative Serverの実装上の不具合によって、外部からのサービス不能(DoS)攻撃が可能となる脆弱性が、開発元のPowerDNS.COM BVから発表されたことを受けてのもの。該当するソフトウェアが動作するサーバーで、提供者が意図しないDNSサービスの停止が発生する可能性がある。
PowerDNSは、オランダのPowerDNS.COM BVがオープンソースで開発しているDNSサーバーの1つで、無償で入手・使用できる。権威DNSサーバーとフルリゾルバー(キャッシュDNSサーバー)が別パッケージとなっており、それぞれPowerDNS Authoritative Server、およびPowerDNS Recursorとして公開されているが、今回指摘されている脆弱性は、PowerDNS Authoritative Server(3.4.4～3.4.6)のみが対象となっている。
対象となるPowerDNS Authoritative Serverにはパケット解析の処理部分に不具合があり、特別に設定された問い合わせ処理の際、サーバープロセスが異常終了を起こす障害が発生し、DNSサービスが停止する可能性がある。この脆弱性を悪用した攻撃は、リモートからも行える。
PowerDNS.COM BVは、この脆弱性の深刻度を「高」と評価しているが、一方で、脆弱性によるシステムそのものの危殆化(きたいか)は発生しないとしている。また、PowerDNS Authoritative Serverをguardian、またはsupervisordやsystemdのようなスーパーバイザー配下で動作させることで、自動的な再起動によって影響を軽減できるという。
JPRSはこの問題を解決するため、脆弱性を修正したパッチバージョン(PowerDNS Authoritative Server3.4.7)への更新か、公式パッチの適用、あるいは各ディストリビューションベンダーからリリースされる更新の適用を強く推奨している。
