Dnsmasqの脆弱性からPCを守るには？Windowsユーザー必見の対策ガイド

2017年、Googleの調査チームは、ドメイン名を対応するIPアドレスへ変換しインターネット接続を可能にするDNS名前解決ソフトウェア「Dnsmasq」に、多数の深刻な脆弱性が存在することを明らかにしました。この発表によりネット上で大きな議論が巻き起こり、多くのユーザーが自らのシステムをDnsmasqの脆弱性から守る方法を探し始める事態となりました。

当時のGoogleエンジニアによる発言の正確な文言は以下の通りです。

2017年9月5日時点でプロジェクトのGitサーバー上にある最新バージョンに影響を与える、リモートコード実行の可能性3件、情報漏洩1件、サービス拒否（DoS）脆弱性3件を発見した

つまり、このエンジニアが指摘していたのは個人情報漏洩の危険性です。もしこれらの脆弱性が実際に悪用されていれば、ユーザーの情報が外部に漏れたり、許可なく第三者にアクセスされたりする恐れがありました。

Dnsmasqとは？

Dnsmasqは、DNSフォワーダとして動作するソフトウェアで、キャッシュ機能とDHCPサーバー機能を備え、さらに多くの付加機能も持っています。さまざまなプロジェクトに採用されている非常に人気の高いツールです。Googleの公式ブログによると、DnsmasqはDNSやDHCPといったサーバー向けの機能を提供しており、ネットワークブートやルーター広告にも関わっています。プライベートネットワークだけでなく、オープンなインターネット環境でも広く利用されています。

Googleのセキュリティチームは評価作業の中で合計7つの問題を発見しました。発見後、彼らは各脆弱性の影響範囲と概念実証（PoC）の検証へと進みました。

Dnsmasqに存在する脆弱性

Dnsmasqには複数の脆弱性が存在し、その主なものを以下に紹介します。CVE-2017-14491はヒープオーバーフローに起因する脆弱性で、DNSリクエストを送信することでトリガーされます。CVE-2017-14492はDHCPサーバーに起因する脆弱性で、同様の原因によるCVE-2017-14493も存在します。この2つはメモリオーバーフローが原因で、前者はヒープオーバーフロー、後者はスタックオーバーフローです。概念実証の結果、両方ともIPv6環境に依存していることが判明しています。

CVE-2017-14494は、DHCPサーバーにおける情報漏洩に関連する脆弱性です。攻撃者はこの脆弱性を利用してASLR（アドレス空間配置のランダム化）を回避できる可能性があります。さらに、CVE-2017-14495、CVE-2017-14496、CVE-2017-13704の3つはDNSサーバーのバグによるもので、いずれもDoS（サービス拒否）を引き起こします。1つ目はメモリを解放しないことにより、2つ目は過剰なメモリ消費を招くことにより、3つ目は大型のUDPパケットを受信した際にクラッシュすることにより、それぞれサービス停止をもたらします。

これらの概念実証は公開されているため、自分のシステムが該当する脆弱性の影響を受けていないかを確認できます。緩和策が存在する場合は、その有効性を検証したうえで導入しましょう。Shodanの調査によれば、Dnsmasqの脆弱性の影響を受ける可能性のあるデバイスは約120万台にのぼるとされています。だからこそ、ご自身のデバイスの状況を確認することが極めて重要です。

コンピュータを保護する方法

コンピュータをDnsmasqの脆弱性から守るためには、パッチを適用して将来のセキュリティリスクを未然に防ぐことが不可欠です。Dnsmasqを手動でインストールしたい場合は、公式サイトから入手できます。承認済みの最新バージョンは2.78です。

Androidデバイスを使用している場合は、セキュリティアップデートによってこれらの脆弱性が修正されます。Dnsmasqの脅威を防ぐため、デバイスに最新のアップデートが確実にダウンロード・適用されているかを確認してください。

ルーターやIoTデバイスを利用している方は、ベンダーの公式ウェブサイトにアクセスし、お使いの製品が影響を受けているかどうかを確認しましょう。影響が確認された場合は、提供されているパッチを速やかに適用してください。

また、信頼できないネットワークからのトラフィックを分離するために、ファイアウォールルールを活用することも効果的です。加えて、デバイス上で使用していないサービスや機能は無効化しておくことで、攻撃対象領域を最小限に抑えられます。