株式会社日本レジストリサービス（JPRS）は3月26日、BIND 9.xの脆弱性（過剰なCPU負荷の誘発、CVE-2026-1519）について発表した。影響を受けるバージョンは以下の通り。


9.20系列：9.20.0-9.20.20
9.18系列：9.18.0-9.18.46
それ以外の系列：9.11.0-9.16.50

　DNSSECでは問い合わされたデータが存在しないことを、存在するデータを示すことで証明（不在証明）しているが、存在するドメイン名そのものをNSECリソースレコード（RR）で示す方式と、ドメイン名そのものに代え、ドメイン名のハッシュ値をNSEC3 RRで示す方式の2種類がある。

　BIND 9.xにはNSEC3 RRによる不在証明の取り扱いに不具合があり、特別に細工されたDNSSEC非対応（Insecure）の委任を検証する際に過剰な反復処理が発生してCPUリソースが枯渇し、namedのパフォーマンスが低下する可能性がある。外部の攻撃者がこの状況を発生させることができた場合、namedのパフォーマンスが低下し、サービスが妨害される可能性がある。

　開発元のISCでは、本脆弱性の深刻度（Severity）を「高（High）」と評価している。

　JPRSでは、本脆弱性を修正したパッチバージョン（BIND 9.20.21/9.18.47）への更新、または、各ディストリビューションベンダーからリリースされる更新の適用を、速やかに実施するよう強く推奨している。

元の記事を読む

編集部おすすめ