（緊急）BIND 9.xの致命的な脆弱性（過度のメモリ消費）について（2013年3月27日公開）
--------------------------------------------------------------------- ■（緊急）BIND 9.xの致命的な脆弱性（過度のメモリ消費）について（2013年3月27日公開） - キャッシュ／権威DNSサーバーの双方が対象、即時の対応を強く推奨 - 株式会社日本レジストリサービス（JPRS） 初版作成 2013/03/27（Wed） --------------------------------------------------------------------- ▼概要 BIND 9.xにおける実装上の問題により、namedに対する外部からの攻撃が可 能となる脆弱性が、開発元のISCから発表されました。本脆弱性により namedが過度のメモリ消費を引き起こし、その結果としてnamedを含む当該サー バーで動作しているプ
DNSの終焉が垣間見える、ぶっ飛んでて危険すぎるお名前.comの検閲事件
忍者ツールズ全サービスが表示不可となる障害につきまして | ドメイン取るなら お名前.com ドメイン取得 年間280円～ 忍者TOOLSは、お名前.comというドメイン名レジストラにninja.co.jpのドメイン情報を管理させていた。忍者TOOLSは、ninja.co.jpというドメインを、自社の様々なサービスに使っていた。そのサービスは、忍者TOOLSのユーザーが使うものである。 さて、お名前.comの主張では、忍者TOOLSのユーザーがお名前.comの規約違反を起こしたために、ユーザーの規約違反は、すなわちそのユーザーのサービス提供元の規約違反であるとし、事前の協議や警告すらなしに、一方的にninja.co.jpのドメイン情報を消したそうだ。 これは恐ろしく危険な事件である。問題は、DNSが階層的な中央管理をされたシステムである以上、この問題は仕組み上どうしようもないという事である
さくらDNSにサブドメインハイジャックを許す脆弱性
さくらインターネット株式会社のDNSサービスにセキュリティ上の問題がありましたが、改修されましたので報告します。 DNSサービスへのドメイン登録時における不具合について 障害内容 : 当社の提供するネームサーバサービスにおいて、既に登録されているドメインのサブドメインが、他の会員IDの方に登録できる状態となっておりました。この障害により、悪意のある第三者がドメインの一部を乗っとれる脆弱性につながる危険性がありました。 本問題につきましては現在は解消されており、全ての登録について不正がないかの調査を行っております。 この問題の発見者は前野年紀氏で、私はさくらインターネット株式会社に問題を通告し、改修を促すための連絡などでお手伝いをしました。 (12:00追記)なお、この脆弱性が混入したのは6月8日頃で、さくらインターネットは6月11日から修正を開始し、昨日（6月13日）には改修されましたので
Ghost Domain 脆弱性まとめ
Yasuhiro Morishita @OrangeMorishita RT @hdais: やれやれ、こういうことをよく思いつくなぁ。ある意味「浸透問題」の応用問題だよね Ghost Domain Names: Revoked Yet Still Resolvable: http://t.co/yURxlsWu Yasuhiro Morishita @OrangeMorishita というわけで、影響はBIND 9のみにとどまらず、ちょっと古いUnbound、PowerDNS recursor、Windows server 2008のDNSサービス、djbdns(dnscache)など、広い範囲に及ぶ模様。 Yasuhiro Morishita @OrangeMorishita 論文を斜め読みした限りでは、件の脆弱性の悪影響は「上位ゾーンがそのゾーンに対する委任を消したとしても、当該ゾー
危険なDNSサーバの利用者へ警告 - インターノット崩壊論者の独り言(2011-11-02)
EPIC2014 Google Public DNS (8.8.8.8, 8.8.4.4) および Cloudflare (1.1.1.1, 1.0.0.1) 経由では本サイトにアクセスできないよう措置させて頂いております。 これまで多くの警告がなされているにも関わらずインターノットにはたくさんのオープンリゾルバが存在しています。その中にはポート番号がランダマイズされていない危険なサーバがいくつも見つかっています。こうしたサーバの管理者に個別に連絡してあげられる時間は残念ながら私にはありません。 古くからDNSの諸問題に取り組まれている qmail.jp の前野さんからも「たくさんの危険なサーバが見つかっているのだが、どうしたものだろう」という声が聞こえてきていました。 どうしたものかと考えて、思案した結果「毒入れ」を敢行することにしました。「毒入れ」と言っても大量の偽応答を送り込むような
クラウド時代はDNS Pinningが落とし穴になる | 水無月ばけらのえび日記
公開: 2011年9月3日19時50分頃 モバツイ (www.movatwi.jp)の作者えふしんさんと、Twitterでこんなやりとりをしました。 OperaってDNSのTTL考慮してない？！多くのブラウザは安全性のために短すぎるTTLを無視したりしますが (DNS Pinning)、それとはまた違う話でしょうか?AWSのElastic Load Balancingで、動的にロードバランサーのサーバが増えたり減ったりするようで、夜明けのOperaがよく全然違うサービスに繋がってしまうことがあるんですよね。少なくともクッキーは送っちゃってますよね...あー、なるほど。それはまずいですね。これは盲点でした……。 OperaやIEなどは、DNSのTTLが短く設定されていても無視してキャッシュし続ける事があります。これはDNSの負荷を減らすというだけはでなく、セキュリティ上の意味もあり、「DNS
（緊急）BIND 9.xのネガティブキャッシュ機能の実装上のバグによるnamedのサービス停止について
--------------------------------------------------------------------- ■（緊急）BIND 9.xのネガティブキャッシュ機能の実装上のバグによる namedのサービス停止について - バージョンアップを強く推奨 - 株式会社日本レジストリサービス（JPRS） 初版作成 2011/05/27（Fri） 更新 2011/06/01（Wed） (ISC発表文書の更新を反映） --------------------------------------------------------------------- ▼概要 BIND 9.xのネガティブキャッシュの取り扱いには実装上のバグがあり、 namedのリモートからのクラッシュ（サービス停止）が可能であることが、 開発元のISCより発表されました。本脆弱性により、提供者が意図し
インフラエンジニア( @zaki )による、エンジニアのための「初心者向けDNS勉強会」 #zsstudy
2011年4月21日（木） ゼロスタートコミュニケーションズにて、はじめての勉強会「zsstudy」を開催しましたー！！ 第１回目のテーマは「DNS」です！！とぅぎゃってみたので、ご参考になれば！！ またやりたいと思いますので、取り上げてほしいテーマなど「#zsstudy」もしくは「@risucomorino」宛に、お気軽にお送りください♪ 続きを読む
GRCのDNS BenchmarkでDNSをスピードアップ - 私家版 ITプロフェッショナルの仕事術
ポッドキャスト「Security Now!」のSteve GibsonによるDNS性能測定ツール「DNS Benchmark」が完成し、Gibson Research Corporation（GRC）のサイトからダウンロードできるようになった。無料で使える。例によってアセンブラ言語で開発され、ファイルサイズはたった163KBである。 Google ChromeがDNSプリフェッチを取り入れたり、Google自身がDNSサーバを立ち上げたりして、DNS名前解決スピードがWebブラウジングの快適さにかなり関係しているということが徐々に認識されてきた。DNS Benchmarkは、公開されているDNSサーバに対してクエリを送信し、そのレスポンスを測定する。 測定している値は3種類ある。ひとつめはCached lookupsで、DNSサーバのキャッシュからの応答速度を測定する。まずクエリーを送信し
PROXY（プロキシ）経由でのDNSリバインディングと対策
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年4月6日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり このエントリでは、PROXY経由でWebアクセスしている場合のDNSリバインディング対策について考察する。 PROXY（プロキシ）経由でWebアクセスしている場合、DNSによる名前解決はブラウザではなくPROXYにより行われる。したがって、 ブラウザ側ではDNS Pinningできないので、PROXY側での対策が重要になる。 広く使われているPROXYサーバーであるsquidの場合、DNS Pinningに相当するパラメータは、negative_dns_ttlであり、デフォルト値は1分間である。したがって、最初
中国国内ルートDNS停止事件 雑感:Geekなぺーじ
先日、「中国国内に配置される、DNS ルート･サーバーが閉鎖された？: Agile Cat ― Azure & Hadoop ― Talking Book 」が、はてなブックマーク上で話題になっていました。 さらに、「インターネットインフラ界のネタフル」的存在だと勝手に私が考えているyebo blogさんの記事も話題になっていました「中国にあるDNSルートサーバが不審な動きをして停止」。 最初にニュースを見た時には、結構衝撃を受けたのですが、今回の事件に関して色々調べてみた結果、実はかなりショボイ事件なのではないかと思い始めました。 今回の事件は、何か新しいものというわけではなく、単なるオペミスで数年前から存在している体制が漏れただけっぽい気がします。 個人的な私の雑感ですが今回の件は、「中国国内用のインターネット検閲システムが中国国外に漏れた結果、チリのISPに影響が出た。I DNSルー
yebo blog: 中国にあるDNSルートサーバが不審な動きをして停止
2010/03/28 中国にあるDNSルートサーバが不審な動きをして停止 Network Worldによれば、24日南米チリNICのDNS管理者Mauricio Ereche氏が I ルートサーバの挙動が不審で、中国にある I ルートサーバにFacebook、YouTube、TwitterのIPアドレスを問い合わせると正しいIPアドレスが返ってこなかったとレポートした。 $ dig @i.root-servers.net www.facebook.com A ; <<>> DiG 9.6.1-P3 <<>> @i.root-servers.net www.facebook.com A ; (1 server found) ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR
DNSセキュリティ拡張の普及組織「DNSSECジャパン」が発足
2009年11月24日、DNSプロトコルのセキュリティ拡張「DNSSEC」の普及のための組織「DNSSECジャパン」が設立された。DNSSECは、DNSサーバーからの応答に公開鍵暗号方式による署名を付け加えることで、パケットの正当性を確認するプロトコルである。 DNSSECは2009年に入って、日本レジストリサービス（JPRS）や、各国のTLD（トップレベル・ドメイン）レジストリが2010～2011年頃のDNSSEC導入に向けて動き出したことで注目を集めている。ただし、DNSSECの実装にあたっては「パケットのデータ量やクエリ数が増えてサーバー負荷が増大する」、「ネットワーク環境によってはサイズの大きいUDPパケットを通さない可能性がある」など、いくつか技術上の課題が挙げられている。また、公開鍵暗号方式の鍵の運用・管理方法などにも未確定の部分が残っている。 そこでDNSSECジャパンでは、
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「BIND 9」にDoSの脆弱性、DNSSEC検証要求の大量受信などでnamedが異常終了 
DNS cache poisoning attack on Google, Gmail, YouTube, Yahoo, Apple
Secunia PSI: US PCs Have 2,720,800,000 Vulnerable Programs Installed!
United States
サービス終了のお知らせ
DNS规模故障追踪：由24岁站长引发的蝴蝶效应_互联网_科技时代_新浪网
United States