「BIND 9」にキャッシュポイズニングなど複数脆弱性

DNSサーバ「BIND 9」にキャッシュポイズニングをはじめとする複数の脆弱性が明らかとなった。セキュリティアップデートが提供されている。

Internet Systems Consortium（ISC）が現地時間2025年10月22日、セキュリティアドバイザリを公表し、3件の脆弱性について明らかにしたもの。

「CVE-2025-40778」「CVE-2025-40780」は、いずれもキャッシュの汚染につながるおそれがある脆弱性。「CVE-2025-40778」は、特定の環境下において応答より受け入れるレコードの処理に不備があり、偽造されたデータがキャッシュに挿入されるおそれがある。

また「BIND」が使用する疑似乱数生成器に脆弱性「CVE-2025-40780」が判明。第三者により「BIND」で使用する送信元ポートとクエリIDを予測されるおそれがある。

一方、「CVE-2025-8677」は、特定の不正なDNSKEYを含むゾーンを問合せることでCPUリソースを消費させることが可能となる脆弱性。リモートからのDoS攻撃に悪用されるおそれがある。

（Security NEXT - 2025/10/23 ）ツイート