インターネット・システムズ・コンソーシアム（ISC）は、named DNSサーバーおよび再帰リゾルバに影響する14件のセキュリティ脆弱性を修正したExtended Support Versionアップデート、BIND 9.20.29をリリースしました。
今回のリリースでは、DNSSEC検証のバイパス、キャッシュポイズニングのリスク、リモートから引き起こし可能なクラッシュ、そしてDNSの可用性を損なったり検証済み応答への信頼性を弱めたりするおそれのあるリソース枯渇状態への対応が行われています。
BIND 9.20.29は、撤回された9.20.28リリースに続くもので、影響を受ける9.20系デプロイメントに対して推奨されるアップグレード版となります。
中でも特に注目すべきは、DNSSECによる保護を損なう可能性のある2件の中程度深刻度の脆弱性です。CVE-2026-77119は、検証を行うリゾルバが、無関係な兄弟ゾーンから提供された有効な署名付きNSEC3レコードを、非セキュア証明として受け入れてしまうというものです。
応答を注入できる攻撃者は、セキュアな委任をダウングレードさせ、偽造された未署名の応答を可能にし、キャッシュポイズニングを引き起こすことができます。ISCはこの問題にCVSSスコア5.9を割り当てており、BINDバージョン9.20.0から9.20.27までが影響を受けるとしています。
CVE-2026-19941も同様に、偽造されたDNSSEC検証済みNXDOMAIN応答を可能にするものです。リゾルバが、無関係なゾーンによって署名されたNSECレコードを、ワイルドカードレコードが存在しないことの証明として受け入れてしまう可能性があります。
経路上に位置する攻撃者、あるいは同一または上位レベルで署名済みゾーンを運用する悪意ある転送者は、これを利用して正当なワイルドカードマッピングを隠蔽し、リゾルバのキャッシュを汚染できます。BINDは現在、ワイルドカード否定および名前不存在の証明が同一ゾーンによって署名されていることを要求するようになりました。
今回のアップデートでは、再帰リゾルバを標的とする複数のサービス拒否問題も解決されています。CVE-2026-19668は、悪意ある権威サーバーが一致しない多数のキータグを含むDSおよびDNSKEYレコードを提供した際に発生する過剰なCPU消費を防止するものです。
BINDは現在、max-validations-per-fetch制限を用いて検証処理を制約しています。CVE-2026-81736は、大規模かつ相互リンクしたHTTPSおよびSVCBエイリアスレコードに対するCPU負荷の高い処理を制限するものであり、CVE-2026-81563は、13件を超えるレコードを持つエイリアスターゲットに関わるキャッシュメモリリークを修正しています。
複数の脆弱性は、アサーション失敗や不正な形式のDNSトラフィックによってnamedをクラッシュさせる可能性があります。これには、dns64およびbreak-dnssec yesを設定した再帰リゾルバに影響するCVE-2026-19666、不正な形式のネガティブキャッシュエントリに関わるCVE-2026-19667、そしてキャッシュされたDNSSEC NOQNAME証明に関わる競合状態であるCVE-2026-19662が含まれます。
ISCはまた、SOA、CNAME、DNAMEレコードの繰り返しに起因するクラッシュ、SIG(0)認証されたHTTPSクエリ、グローバルオプションを伴わないTKEYクエリ、そしてNSECとNSEC3の両方の証明を含むワイルドカード応答に関わるクラッシュについても修正を行っています。
その他の修正は、ゾーン転送および権威サービスの動作を強化するものです。BINDは現在、受信するAXFRおよびIXFR転送において、すべてのメッセージでTSIG認証を要求するようになりました。これにより、後続の署名によって認証される前に未署名の転送メッセージが処理されてしまうという抜け穴が塞がれています。
さらに今回のアップデートでは、ゾーンデータベースに保存されたゾーン外のレコードが権威データとして提供されることを防止しています。これを放置すると、設定されたゾーンの内側または外側にあるレコードに影響を及ぼす可能性がありました。
管理者は、インターネットに公開されている再帰リゾルバ、DNSSEC検証を行うインフラ、DNS64を使用するサーバー、そして信頼できないクライアントからの再帰クエリを許可しているデプロイメントを優先してアップグレードすべきです。
ISCによると、2件のDNSSECキャッシュポイズニング問題については既知の回避策はなく、開示時点で悪用の証拠は確認されていないとのことです。
組織はBIND 9.20.29へのアップデート、リゾルバの露出状況とアクセス制御リストの見直し、そして導入後のCPU・メモリ・SERVFAIL・予期しないnamed再起動イベントの監視を行うべきです。
16,000以上のSOCチームがANY.RUNを利用し、脅威調査の効率化と手作業の削減を実現しています。貴チーム向けに詳しく見る
翻訳元: https://cyberpress.org/bind-9-20-29-fixes-14-security-flaws/
