インターネット システムズ コンソーシアム (ISC) は、Kea DHCP サーバー ソフトウェアの重大な脆弱性に対処する重大なセキュリティ アドバイザリーをリリースしました。
Kea は、エンタープライズ ネットワークおよびインターネット サービス プロバイダーが広く使用しており、ネットワークの IP アドレス割り当てを管理する最新の高性能 DHCP サーバーです。
CVE-2026-3608 として追跡されているこの欠陥は、認証されていないリモート攻撃者が重要なネットワーク サービスをクラッシュさせ、完全なサービス拒否に至る可能性があります。この脆弱性は 2026 年 3 月 25 日に公式に公開されました。
脆弱性の概要
- CVE 識別子: CVE-2026-3608
- 重大度スコア: 7.5 (高)
- CVSS ベクトル: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- 脆弱性タイプ: スタック オーバーフロー
- 悪用: リモートおよび認証なし
- アクティブなエクスプロイト: 現在のところ報告されていません
セキュリティ欠陥は、複数のコア Kea デーモン内に存在するスタック オーバーフロー脆弱性から発生しています。
脅威アクターは、構成されたAPI ソケットまたは高可用性 (HA) リスナーを介して悪意のあるメッセージを送信することで、このネットワークベースの弱点を悪用できます。
ターゲット デーモンがこの異常なデータ パケットを受け取ると、ペイロードを安全に処理できなくなり、サービスはスタック オーバーフロー エラーで即座にクラッシュして終了します。
この脆弱性は、Kea ソフトウェア スイートの主要な運用コンポーネントに直接影響を与えます。
影響を受けるデーモンには、コントロール エージェント (kea-ctrl-agent)、動的 DNS アップデータ (kea-dhcp-ddns)、および IPv4 と IPv6 の両方のサービス (kea-dhcp4 および kea-dhcp6) が含まれます。
Keysight の Ali Norouzi がこの重大な欠陥を最初に発見し、ISC セキュリティ チームに報告しました。
CVE-2026-3608 を悪用すると、影響を受けたネットワーク全体のDHCP サービスが完全に失われます。
DHCP サービスはクライアント デバイスに IP アドレスとルーティング構成を動的に割り当てるため、サービスがクラッシュするとネットワーク接続が大きく中断される可能性があります。
このダウンタイムは新しいデバイスがネットワークに参加するのを防ぎ、既存のデバイスがリースを更新するのを停止します。
この脆弱性は、Kea 2.6 および 3.0 ブランチ内の特定のアクティブなリリースに影響します。ネットワーク管理者は、Kea バージョン 2.6.0 から 2.6.4、および 3.0.0 から 3.0.2 に脆弱なコードが含まれていることに注意する必要があります。
このセキュリティ リスクを排除するために、ISC は、すべての管理者が Kea インフラストラクチャを新しくリリースされたパッチ バージョンにアップグレードすることを強く推奨しています。
2.6 ブランチのユーザーは、直ちに Kea 2.6.5 に更新する必要があります。これに対して、3.0 ブランチの新しい組織は、ネットワーク システムを適切に保護するために 3.0.3 をデプロイする必要があります。
ソフトウェア パッチをすぐに適用できない組織向けに、信頼できる一時的な回避策が利用可能です。
管理者は、すべての API ソケットをトランスポート層セキュリティ (TLS) で保護することにより、脅威アクターが悪意のある API 接続を確立するのを防ぐことができます。
設定パラメータ cert-required を true に設定すると、サーバーはクライアント証明書を使用した相互認証を要求します。
この厳密な要件により、認証されていない外部攻撃者がデーモンをクラッシュさせるために必要な細工されたペイロードを配信できないようになります。
翻訳元: https://gbhackers.com/isc-issues-critical-warning-over-kea-dhcp-vulnerability/
