「BIND 9.20.30/9.21.27」リリース ─ 深刻度「High」の脆弱性4件を修正

潜在的なリモートコード実行やCPU・メモリー枯渇、namedの異常終了に対応

2:41

　ISCは10月21日(現地時間)、DNSサーバソフトウェア「BIND 9.20.30」をリリースした。開発系列の「BIND 9.21.27」と、サポート契約者向けの「BIND 9.20.30-S1」も同時に公開されている。

　BINDは、ドメイン名とIPアドレスを対応付けるDNSの権威サーバーやキャッシュDNSサーバーとして利用されるオープンソースソフトウェア。BIND 9.20系列は、本番環境向けの安定版で長期サポートを受けられるExtended Support Version(ESV)に位置付けられている。

　「BIND 9.20.30」のハイライトは次の通り。
〇細工されたDNSメッセージによってCPUとメモリーを大量に消費する問題を修正(CVE-2026-19630)
〇同時に処理されるGSS-TSIGメッセージでメモリーが破損する問題を修正(CVE-2026-94300)
〇redirectゾーンと厳格なQNAME最小化を併用するとnamedが異常終了する問題を修正(CVE-2026-96888)
〇特定のRPZ設定と問い合わせの組み合わせでnamedが異常終了する問題を修正(CVE-2026-97313)
〇新しいルートDNSSEC鍵「ID 38696」を認識し、古い鍵だけが設定されている場合に警告
〇SIG(0)やDNSSECでHMAC鍵と署名を受け付けないように修正
〇細工されたraw形式のゾーンファイルを読み込むとnamedが異常終了する問題を修正
〇動的更新の前提条件確認でも「allow-query」と「allow-query-on」を適用
〇「dig +dns64prefix」で範囲外読み取りが発生する問題を修正
〇高負荷時にResponse Rate Limitingのテーブル走査が応答を遅延させる問題を修正
〇ゾーン頂点がCNAMEを返す非署名ゾーンでSERVFAILになる問題を修正
〇OpenBSDで待機中のワーカースレッドがシグナルを受けると異常終了する問題を修正
など。

　CVE-2026-94300では、GSS-TSIGで署名されたUDPメッセージを再送することで、named内部のKerberos関連状態が破損する。攻撃者が有効な署名付きメッセージを取得し、制御下のゾーンを利用して細工した問い合わせを送信できる場合、namedの異常終了に加えてリモートコード実行につながる可能性がある。CVSS基本値は8.1となる。

　CVE-2026-19630は、圧縮された名前を多数含むDNSメッセージを処理させ、少量の通信でnamedのワーカースレッドやCPU、メモリーを消費させる問題。CVSS基本値は7.5で、修正版では1件のメッセージについて実行できる名前展開処理に上限を設けた。

　残る2件もCVSS基本値は7.5。4件とも回避策はなく、管理者にはアップデートが強く推奨される。

　「BIND 9.20.30/9.21.27」は、Webサイトから入手できる。

(川原龍人/びぎねっと)

この記事をシェアしてください