Webサーバーの設定ミスか…メールサービス利用者のアドレス、受信メールが公開状態に

– 2月14日(現地時間)、米セキュリティ情報サイトKrebs on Security(以下・Krebs)より、米国のISPであるU.S.Internet社が提供するメールフィルタリングサービス「Securence」の利用者のメールアドレスおよびメールそのものが外部から参照可能な状態になっていたと発表されました。

– Krebsに情報を提供したセキュリティ企業によれば、Securenceに関するWebサーバーへのアクセスにより、ディレクトリリストが表示され、ディレクトリ名からSecurenceの利用者とみられるドメイン名やメールアドレスが読み取れたとしています。

– 利用者は企業から教育機関・政府機関にまで及び、さらに各メールアドレスのディレクトリ内において、そのアドレスに届いたメールを読むことも可能だったとしています。

– KrebsではU.S.Internet社に連絡をとり、現在はディレクトリは非公開になったとしています。

– 2月14日(日本時間)、DNSサーバー「BIND」に7件の脆弱性が発見されたとして、修正バージョン(9.18.24/9.16.48等)がリリースされました。

– 一般的に利用されるバージョンには影響しない1件を除いた6件はいずれも危険度が高いものとされ、BINDのサーバープロセスを不正にダウンさせられる、あるいはBINDが動作しているサーバーのパフォーマンスを低下させられるといった、外部からのDoS攻撃に繋がり得るものとなっています。

– JPCERT/CC等からも脆弱性についての注意喚起が出されており、可能な限り速やかなアップデートが推奨されています。

– また、今回報告された脆弱性の一部は、BIND以外のキャッシュDNSサーバーであるUnbound・Knot Resolver・PowerDNS RecursorおよびWindows ServerのDNSサービスについても影響するとされ、それぞれセキュリティアップデートがリリースされています。