ISC、BINDのセキュリティアップデートで14件の脆弱性を修正

インターネット・システムズ・コンソーシアム(ISC)は、広く使われているオープンソースのDNSサーバーソフトウェア「BIND」向けに新たなセキュリティアップデートをリリースし、サービス拒否(DoS)攻撃につながる恐れのある14件の脆弱性を修正しました。

このうち7件は深刻度「高」の脆弱性で、悪用されるとプログラムの予期しない終了、メモリ枯渇、named(BINDのデーモンプロセス)の停止、リソース枯渇を引き起こし、DoS状態に陥る可能性があります。

これらのリモートから悪用可能な脆弱性は、CVE-2026-80274、CVE-2026-76163、CVE-2026-19666、CVE-2026-81563、CVE-2026-77692、CVE-2026-19667、CVE-2026-81736として追跡されています。

これらは、不一致のNOQNAME証明、QTYPE TKEYクエリ、権威サーバーからの不正な形式の応答、SVCB/HTTPSのAliasModeレコード、細工されたDNS over HTTPS(DoH)リクエスト、65,536バイトのネガティブ応答などを用いてトリガーすることができます。

中でもCVE-2026-77692は際立っており、認証なしでリモートから悪用でき、たった1件のDoH SIG(0)リクエストでnamedをクラッシュさせることが可能です。

ISCは「攻撃者は、暗号学的に無効なSIG(0)レコードを含む細工されたDNS over HTTPSリクエストを送信し、その後トランスポート接続を途中で切断することで、namedを強制終了させることができます」と説明しています。

今回のBINDアップデートでは、深刻度「中」の脆弱性7件も併せて修正されています。これらはキャッシュポイズニング、ネガティブキャッシュのメモリ使用量増加、CPU枯渇とパケットロス、攻撃者が指定した任意のデータがゾーンに追加されてしまう問題、DoS攻撃などにつながる恐れがありました。

これらのセキュリティ上の欠陥はすべて、BINDバージョン9.21.26および9.20.29のリリースによって対処されています。

ISCによると、今回修正された脆弱性が実際の攻撃で悪用された事例は確認されていないとのことですが、それでもBINDを導入している環境については、できるだけ早くアップデートを適用することを推奨しています。

詳細情報は、BINDのセキュリティアドバイザリページおよびBIND 9のリリースノートページで確認できます。