「BIND 9」に複数の脆弱性、すみやかな更新を強く推奨

DNSサーバ「BIND 9」に複数の脆弱性が判明した。提供元や関係者はアップデートを呼びかけている。

Internet Systems Consortium（ISC）は現地時間2026年5月20日、セキュリティアドバイザリを公開。脆弱性によって影響を受けるバージョンは異なるが、あわせて6件の脆弱性を明らかにした。

「CVE-2026-3039」は、「Kerberos」などを利用する「GSS-API」の「TKEY認証処理」を設定している場合に影響を受ける脆弱性。細工した問い合わせによってメモリが解放されず、メモリの枯渇を引き起こすおそれがある。

「CVE-2026-5946」は、DNSにおける「IN」以外の「クラス」や「メタクラス」を含むDNSメッセージの処理に関する脆弱性。再帰問い合わせをはじめ、「UPDATE」「NOTIFY」などの処理でアサーションエラーが生じるおそれがある。権威DNSサーバ、キャッシュDNSサーバのいずれも影響を受ける。

さらに「SIG(0)」の署名付きDNSメッセージの検証処理で競合状態が発生する「CVE-2026-5947」や、「DNS-over-HTTPS（DoH）」を有効化している環境で「HTTP/2」における特定の制御フレームを大量に受信した際に影響を受ける「CVE-2026-3593」が確認された。いずれも解放済みのデータを参照してクラッシュするおそれがある。

（Security NEXT - 2026/05/21 ）ツイート

「BIND 9」に複数の脆弱性、すみやかな更新を強く推奨

関連リンク

PR

関連記事