回避策なし、「BIND 9」に高深刻度7件の脆弱性 DNSキャッシュ汚染やDoSの恐れ：更新を後回しにしていないか？

DNSサーバソフト「BIND 9」の更新版が公開された。修正されたのは計9件の脆弱性で、このうち7件は深刻度「高」と評価される。DNSキャッシュ汚染やDoSにつながる問題も含まれるが、現時点で有効な回避策は示されていない。

[＠IT]

　Internet Systems Consortium（ISC）は2026年7月22日（現地時間）、DNSサーバソフト「BIND 9」の保守リリースとして、安定版ブランチの9.20.26と実験的な開発版ブランチの9.21.24を公開した。

　両版には不具合修正や機能改善に加え、計9件（うち深刻度「高」が7件）の脆弱（ぜいじゃく）性への対策が含まれる。ISCは各リリースのソースコードや暗号署名、リリースノートを公開するとともに、更新前に変更内容を確認するよう呼びかけている。ISCが提供するパッケージやコンテナイメージも同日中に更新される予定だ。

「既知の回避策なし」　9件の脆弱性を修正、修正版への更新を推奨

　今回修正された9件の脆弱性は、いずれも遠隔から悪用される可能性がある。このうち7件は深刻度「高」、2件は「中」と評価された。公開時点で実際の悪用は確認されていないが、ISCは既知の回避策はないとしており、修正版への更新を推奨している。

　最もCVSSスコアが高い「CVE-2026-13321」（CVSS 8.6）は、本来別のドメインに影響しないはずのDNS情報まで汚染し、誤った名前解決を引き起こす「ゾーン横断型キャッシュ汚染」が発生する可能性がある問題だ。原因は、BINDのリゾルバーが、署名者のゾーン外を指す「Next Domain Name」フィールドを持つ正しく署名されたNSECレコードを受け入れてしまうことにある。攻撃者がDNSSEC署名済みゾーンを管理している場合、認証済みの名前不存在応答を悪用してキャッシュ汚染を引き起こす恐れがある。

　「CVE-2026-11721」（CVSS 7.5）は、RRSIGのラベル数とワイルドカード処理の不整合によってキャッシュ汚染が発生する可能性がある脆弱性だ。標準設定の「synth-from-dnssec yes」が有効なリゾルバーで影響を受ける可能性があり、攻撃者が細工したRRSIGを返すことで、BINDのDNSサーバプロセス「named」が本来より短いワイルドカード名を生成する場合がある。

　「CVE-2026-10723」（CVSS 6.8）は、誤った子ゾーンのNSEC3レコードを正当なものとして受け入れ、兄弟ゾーンに関する認証済みNXDOMAIN応答を偽造される恐れがある問題だ。

　「CVE-2026-11331」（CVSS 7.5）は、ワイルドカードCNAMEを利用してResponse Policy Zone（RPZ）によるポリシー制御を回避できる可能性がある。攻撃者が十分に長い問い合わせ名を送信してRPZ処理中にNAMETOOLONGエラーを発生させると、対象ルールを回避できるほか、namedが異常終了する可能性もある。

　可用性に影響する問題も複数修正された。「CVE-2026-11605」（CVSS 7.5）は、不要なRRSIGまで常に検証するため、多数の有効だが不要な署名を返す権威DNSサーバからの応答を処理する際、CPUリソースを過剰に消費する恐れがある。

　「CVE-2026-11622」（CVSS 7.5）は、DNSSEC署名済みゾーンに対するランダムサブドメイン攻撃を受けた検証リゾルバーで、設定したキャッシュ上限（max-cache-size）を大幅に超えるメモリを消費する可能性がある。応答性能の低下やサービスへの影響も懸念される。

　「CVE-2026-12617」（CVSS 7.5）は、CNAMEまたはDNAMEとAレコードへの応答順序や内容によってnamedがアサーションエラーで終了する問題だ。権威DNSサーバがAレコード問い合わせには肯定応答を返し、DNAMEまたはCNAMEへの応答を遅らせた後に否定応答や自己参照CNAMEを返す特定条件で発生する。

　「CVE-2026-13204」（CVSS 7.5）は、親ゾーン側でNSECとNSEC3の両方に覆われ、一方にしかRRSIGが存在しない安全でないドメインを検証した際、namedがアサーションエラーで終了し、DoS攻撃につながる恐れがある。

　深刻度「中」の「CVE-2026-10822」（CVSS 6.5）は、PRIVATEDNSアルゴリズム253を指定したKEYやDNSKEYレコードで、識別子の実データより長いサイズを誤って受け入れる問題だ。このレコードを保存した後にテキスト形式に変換すると整合性検査に失敗し、9.20系と9.21系では異常終了する可能性がある。9.18系では異常終了は確認されていないが、同じ問題を含むコードを共有している。

　影響を受けるバージョンは脆弱性によって異なるが、多くは9.20.0〜9.20.24および9.21.0〜9.21.23が対象となる。9.18系や旧9.11系、Supported Preview Editionも一部または複数の脆弱性の影響を受ける。内部試験で発見されたものも含まれており、各アドバイザリには影響範囲やCVSS評価、想定される影響、修正版が記載されている。

　対策は利用中のブランチに対応する修正版に更新することだ。通常版は9.20.26または9.21.24、Supported Preview Editionは9.20.26-S1への更新が案内されている。回避策は公開されておらず、管理者は運用中のバージョンが影響を受けるかどうかを確認した上で、リリースノートを確認し、速やかに更新する必要がある。