権威DNSサーバ「NSD」に複数脆弱性 - 修正版が公開

権威DNSサーバ「NSD」において複数の脆弱性が明らかとなった。NLnet Labsでは、脆弱性に対処したセキュリティアップデートをリリースし、利用者に対応を呼びかけている。

NLnet Labsは現地時間6月25日にアドバイザリを公開し、脆弱性を明らかにするとともに修正版をリリースしたもの。CVEベースで4件の脆弱性に対処している。

セカンダリとして構成された「NSD」において、プライマリから細工された「SVCBリソースレコード」が含まれる「AXFR」によるゾーン転送を受信するとヒープオーバーフローが発生する脆弱性「CVE-2026-12244」が確認された。

また「TLS接続」におけるエラーログの処理で解放後のメモリを利用する「CVE-2026-12245」や、条件に合致すると、通常のTLSポートやTCP経由の転送要求でクライアント証明書が不要となる「CVE-2026-12490」なども判明した。

さらに細工された「APL RR」によってゾーンの書き込み時にスタックが上書きされ、攻撃者によってメモリを制御されるおそれがある「CVE-2026-12246」が明らかとなっている。

（Security NEXT - 2026/06/29 ）ツイート