「BIND 9.20.29／9.21.26」リリース ─ 14件の脆弱性を修正

DNSSECの検証回避や複数のリモートDoSへの対応など

1:11

　Internet Systems Consortium(ISC)は9月16日(現地時間)、DNSサーバーソフトウェア「BIND 9.20.29」と「BIND 9.21.26」をリリースした。

　「BIND 9.20.29」は実運用向けの安定版、「BIND 9.21.26」は新機能の評価などを目的とした開発版。今回公表された14件の脆弱性のうち、「9.20.29」ではすべてが修正され、9.21.26は影響を受ける13件が修正されている。

　ハイライトは次の通り。
〇細工したDNSSEC応答によって検証処理のCPU使用量が増大する問題を修正(CVE-2026-19668)
〇無関係なNSEC3レコードによって安全な委任を未署名として扱わせる問題を修正(CVE-2026-77119)
〇別ゾーンのNSECレコードを利用してDNSSEC検証済みのNXDOMAIN応答を偽造できる問題を修正(CVE-2026-19941)
〇DNS64の特定構成や不正なネガティブキャッシュによって「named」が異常終了する問題を修正
〇DoHとSIG(0)を組み合わせた未認証の要求によって「named」がクラッシュする問題を修正(CVE-2026-77692)
〇HTTPS／SVCBエイリアスによるCPU消費とキャッシュメモリー枯渇を修正
〇TKEY問い合わせによって「named」が異常終了する問題を修正(CVE-2026-76163)
〇ゾーン転送の各メッセージにTSIG署名を要求するように変更(CVE-2026-19033)
〇SOA、CNAME、DNAMEレコードの大量の重複によるリソース消費を抑制(CVE-2026-75029)
〇ゾーン外のレコードが権威データとして扱われる問題を修正(CVE-2026-78301)
〇リダイレクトゾーンとDLZデータベースに対する問い合わせACLの適用を修正
〇IXFRからAXFRへ切り替えた場合や、TCPでDNS応答を処理する際のクラッシュを修正

　「BIND 9.20.29／9.21.26」は、Webサイトから入手できる。

(川原龍人/びぎねっと)

この記事をシェアしてください