「BIND 9.20.26」リリース ─ キャッシュポイズニングなど9件の脆弱性を修正

　Internet Systems Consortium(ISC)は7月22日(現地時間)、DNSサーバBINDのポイントリリースとなる「BIND 9.20.26/9.21.24」を発表した。

　「BIND 9.20.26」は、現行安定版・Extended Support Version(ESV)に位置付けられるBIND 9.20系列のメンテナンスリリース。DNSキャッシュポイズニング、DNSSEC検証の回避、サービス拒否(DoS)などにつながる9件の脆弱性が修正されている。

　「BIND 9.20.26/9.21.24」で修正された脆弱性は次の通り。
〇不正なNSEC3レコードを受け入れ、偽のNXDOMAIN応答を生成される可能性がある問題(CVE-2026-10723、Medium)
〇不正なDNSKEYレコードによってアサーションエラーが発生する問題(CVE-2026-10822、Medium)
〇ワイルドカードCNAMEを利用してResponse Policy Zone(RPZ)のポリシーを回避できる問題(CVE-2026-11331、High)
〇細工されたDNSSEC否定応答によって過剰な検証処理が発生し、CPU資源を消費する問題(CVE-2026-11605、High)
〇継続的な攻撃によってDNSキャッシュのメモリを枯渇させられる問題(CVE-2026-11622、High)
〇不正なRRSIGおよびワイルドカード応答によってDNSキャッシュポイズニングが発生する可能性がある問題(CVE-2026-11721、High)
〇特定のCNAMEおよびDNAME応答によってnamedが異常終了する問題(CVE-2026-12617、High、BIND 9.20.26のみ)
〇不正なNSEC／NSEC3応答によってnamedが異常終了する問題(CVE-2026-13204、High)
〇ゾーン外を指すNSECレコードによってDNSSEC検証を回避できる問題(CVE-2026-13321、High)
など。

　このうち「CVE-2026-13321」は、CVSS基本値が8.6と評価されている。攻撃者が管理するゾーンから、ゾーン外を指すNSECの次所有者名を送信することで、不正なレコードをDNSSEC検証リゾルバのキャッシュへ格納させることができる。「synth-from-dnssec」が有効な場合、対象範囲に含まれる別のゾーンについて、偽の否定応答を生成させられる可能性がある。他にも、悪用されることでDNSキャッシュポイズニングにつながる危険のあるものやサービス拒否につながる脆弱性も修正されており、ユーザはアップデートを施すことが推奨される。

　「BIND 9.20.26/9.21.24」は、Webサイトから入手できる。

(川原 龍人/びぎねっと)

[関連リンク]
リリースノート(9.20.26)
リリースノート(9.21.24)