Internet Systems Consortium(ISC)は、14件のセキュリティ脆弱性に対応したBIND 9.20.29をリリースしました。これらの脆弱性は、リモート攻撃者によるDNSSEC保護の回避、リゾルバキャッシュの汚染、CPUやメモリリソースの枯渇、namedサービスのクラッシュなどを引き起こす可能性があります。
今回のアップデートは、再帰的でDNSSEC検証を行うリゾルバを運用している組織にとって特に重要です。こうした組織は、確認された複数の脆弱性の影響を主に受けるためです。
BIND 9.20.29が14件のセキュリティ脆弱性を修正
最も重大な修正のうち2件は、署名済みDNSゾーンが提供する整合性の保証を脅かすDNSSEC検証の弱点に対応するものです。
CVE-2026-77119:この脆弱性により、検証を行うリゾルバが、無関係な兄弟ゾーンからの有効なNSEC3レコードを、安全な委任が実際には非安全であることを示す証拠として誤って受け入れてしまう可能性があります。
応答を注入できる攻撃者はこの欠陥を悪用し、リゾルバに偽造された未署名の応答を受け入れさせることができ、キャッシュ汚染につながる恐れがあります。ISCはこのリモートから悪用可能な問題を中程度の深刻度と評価し、CVSSスコア5.9を割り当てています。また、実際に悪用されている事例は確認されていないとしています。
CVE-2026-19941は、DNSSEC検証済みのNXDOMAIN応答を偽造できてしまう脆弱性です。この修正が行われる前は、リゾルバが無関係なゾーンからの署名済みNSECレコードを、ワイルドカード名が存在しないことの証拠として受け入れてしまう可能性がありました。
トラフィックを傍受できる立場にある攻撃者や、署名済みゾーンを制御する悪意のあるフォワーダーは、本来ワイルドカードレコードを通じて解決されるべきホスト名に対して、一見認証済みに見える「ドメインが存在しない」という応答を返すことができました。更新された検証ロジックでは、ワイルドカード否定の証明と名前非存在の証明を同一ゾーンが署名することが必須となりました。
今回のリリースでは、再帰的リゾルバに影響を及ぼす複数のサービス拒否(DoS)脆弱性にも対応しています。
CVE-2026-19668:この脆弱性は、DNSSEC検証時にCPUを過剰に消費させるものです。悪意のある権威サーバーが、有効な一致を一切含まない多数の異なるキータグを持つDSレコードおよびDNSKEYレコードを公開することで、再帰的クエリごとに負荷の高いキータグ照合処理が繰り返し発生する可能性があります。
ISCは、BINDのクエリ単位の上限であるmax-validations-per-fetch制限によって、この処理を制約しました。この脆弱性はBINDバージョン9.20.0から9.20.27に影響し、CPU枯渇やパケットロスを引き起こす可能性があり、CVSSスコア5.3が付与されています。
脆弱性発見サービス
- CVE-2026-81736:キャッシュされた相互リンク型のHTTPSまたはSVCBエイリアスの大規模なセットにより、BINDが追加の応答セクションを組み立てる際に過剰な処理を行ってしまう可能性がある問題。
- CVE-2026-81563:関連するメモリ保持の問題を修正するもので、13件を超えるレコードを持つHTTPS/SVCBエイリアスターゲットがキャッシュ内に無期限に残存し、無関係な名前の解決を妨げる可能性がある問題に対応。
今回のアップデートでは、不正な形式のネガティブキャッシュエントリ、キャッシュされたDNSSEC NOQNAME証明、NSECとNSEC3の両方の証明を含むワイルドカード応答、break-dnssecを使用するDNS64構成、グローバルoptionsステートメントを欠く構成に対して送信されたTKEYクエリに関連するアサーション失敗の問題も解消されています。
BIND 9.20.29では、以下によりゾーン転送の認証が強化されています。
CVE-2026-1903:これまでは、namedがTSIG署名付きのAXFRまたはIXFR転送を受け入れる際、一部の個別メッセージが未署名であっても、後続の署名を検証する前にそれらの未署名メッセージを処理してしまうことがありました。
修正された実装では、受信するゾーン転送のすべてのメッセージにTSIG署名が必須となりました。ISCによると、現代の権威ネームサーバーは通常、転送内のすべてのメッセージに署名を行っているため、管理者は大きな相互運用性の問題に直面することはないとしています。
さらに、今回のリリースではCVE-2026-78301も修正されています。これは、ゾーンデータベース内にゾーン外のレコードが存在する問題に関わるものです。こうしたレコードが権威データとして提供されてしまうと、サーバーが設定されたゾーン外のデータを使ってクエリに応答してしまったり、リゾルバと権威サーバーが混在する構成では、意図しない委任をたどって外部の応答をキャッシュしてしまったりする恐れがあります。
BINDは現在、ゾーンデータベースの検索を、設定されたゾーンの起点(origin)以下に位置する名前に限定するようになりました。
ISCは、影響を受ける環境について、現在利用しているブランチに応じてBIND 9.20.29またはBIND 9.21.26へのアップグレードを推奨しています。CVE-2026-19668およびCVE-2026-77119には回避策が存在しないため、速やかなパッチ適用が最も信頼できる緩和策となります。
運用者は、インターネットに公開された再帰的リゾルバ、DNSSEC検証を行うインフラ、信頼できないクライアントからの再帰クエリを許可しているサーバー、権威サーバーと再帰リゾルバが混在する構成を優先的に対応すべきです。
また管理者は、ゾーン転送が常にTSIGを使用していることを確認し、ACLによって再帰クエリを制限し、リゾルバにおけるCPUやキャッシュの異常な増加を監視するとともに、アサーション失敗、想定外のSERVFAIL応答、DNSSEC検証エラーの繰り返しなどがないかログを確認する必要があります。
SOCの警告調査時間を1件あたり21分短縮。即座のIOCコンテキストでSOCの即応力を強化: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/bind-9-20-29-fixes-14-security-flaws/