「Unbound」のDNSキャッシュ汚染脆弱性 - 追加対策版が公開

NLnet Labsは、キャッシュDNSサーバ「Unbound」におけるDNSキャッスポイズニングの脆弱性へ対処したアップデートをリリースした。10月に影響を緩和するアプデートを実施していたが、追加対策を講じた。

DNS応答において、不正な権威DNSサーバを指定する「NS RRSet」を追加し、ゾーンの委任情報を改ざんできる脆弱性「CVE-2025-11411」が確認されたもの。

権威セクションに挿入された不正なNSレコードを受け入れ、ネームサーバの情報を不正な内容で更新されてしまうもので、応答内容を細工することでDNSキャッシュの汚染が可能となる。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「5.7」、重要度は「中（Medium）」とレーティングされている。

開発チームは、2025年10月にリリースした「同1.24.1」でDNS応答から不要な「NS RRSet」を削除する対策を盛り込んだが、同年11月26日に「同1.24.2」を公開。一方的に挿入された「NS RRSet」を除去する追加策を講じた。

追加アップデートのリリースを受けて、日本レジストリサービス（JPRS）などからも注意喚起が行われている。

（Security NEXT - 2025/12/03 ）ツイート