ISCは2026年10月21日、DNSサーバーソフトウェアBIND 9の4件の脆弱性を公表しました。4件はいずれもDNSサービスの停止につながる可能性があり、うちCVE-2026-94300ではコード実行の恐れもあります。安定系列の修正版は9.20.30です。
国内ではJVNが10月22日に4件を掲載し、JPRSもコード実行に関わるCVE-2026-94300について、更新を強く推奨する緊急告知を出しています。
4件の影響と攻撃条件
| CVE | 主な条件と影響 | CVSS v3.1(ISC評価) |
|---|---|---|
| CVE-2026-94300 | GSS-TSIG署名付きUDPメッセージの再送によるメモリー破壊。プロセス停止や、条件付きでコード実行の可能性。 | 8.1 |
| CVE-2026-19630 | リゾルバーが細工されたDNSメッセージを処理すると、CPUやメモリーを過剰に消費し、サービス停止に至る可能性。 | 7.5 |
| CVE-2026-96888 | redirectゾーンとqname-minimization strictを併用するリゾルバーで、処理中に異常終了する可能性。 |
7.5 |
| CVE-2026-97313 | 再帰問い合わせを許可し、RPZ(DNS応答にポリシーを適用する機能)を2つ以上使い、recursive-onlyがyesとnoで混在する構成で、再帰の後に非再帰の問い合わせを受けると異常終了する可能性。 |
7.5 |
GSS-TSIGは、DNS通信の署名に認証の仕組みを組み合わせる機能です。CVE-2026-94300では、署名済みUDPメッセージを攻撃者が捕捉し、鍵の有効期間中に再送できることが条件です。さらに攻撃者が管理するゾーンへの細工した問い合わせを組み合わせると、コード実行につながる可能性があります。ISCは、攻撃に権限は不要としつつ、攻撃の難度を高く評価しています。
更新先と9.18系列の扱い
ISCは4件とも実際の悪用を把握しておらず、既知の回避策はないとしています。対処は修正版への更新です。
- 安定系列 : 9.20.30
- 開発系列 : 9.21.27
- Supported Preview Edition(ISCサポート契約者向け) : 9.20.30-S1
4件とも9.20.0〜9.20.29、9.21.0〜9.21.26に加え、9.18系列の全版(最終版の9.18.50まで)が影響を受けます。9.18系列はすでにISCのサポートが終了しており、今回の修正版はありません。ISC配布のソースで9.18系列を使っている場合は、9.20.30へ移行してください。ISCは9.18系列を旧版とし、現行版への早期更新を強く推奨しています。
OSに付属するBINDパッケージは、配布元が独自に修正を取り込む場合があります。JPRSも、ディストリビューションからの情報収集と更新の適用を案内しています。ISCのバージョン番号だけで判断せず、利用OSのセキュリティ告知とパッケージ更新を確認してください。
コメント