CVE-2022-3094 in BIND
要約
〜によって VulDB • 2026年06月07日
動的DNS更新の大量送信により、`named` が大量のメモリを割り当てる可能性があります。これにより、利用可能なメモリ不足のため `named` が終了する可能性があります。この脆弱性が実際に悪用された事例は確認されていません。メモリはアクセス権限（ACL）の確認前に割り当てられ、アクセス資格情報が承認されたクライアントからの動的更新処理中も保持されます。更新送信が許可されていないクライアントに割り当てられたメモリは、拒否された直ちに解放されます。したがって、この脆弱性の影響範囲は、動的ゾーン変更が許可された信頼されたクライアントに限定されます。動的更新が REFUSED（拒否）された場合、メモリは非常に速やかに再度解放されます。そのため、`named` のパフォーマンス低下や停止を引き起こす可能性が高いのは、同じ悪意ある結果を達成することを目的としたクエリフラッドと同等の規模の、承認されない動的更新の大量送信に限られます。BIND 9.11 およびそれ以前のブランチも影響を受けますが、これはメモリ制約ではなく内部リソースの枯渇を通じて発生します。これによりパフォーマンスが低下する可能性がありますが、ほとんどのサーバーでは重大な問題にはならないと考えられます。そのため、BIND 9.16 より前のバージョンについては本問題を修正する予定はありません。この問題は、BIND 9 のバージョン 9.16.0 から 9.16.36、9.18.0 から 9.18.10、9.19.0 から 9.19.8、および 9.16.8-S1 から 9.16.36-S1 に影響します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.