BIND 9に脆弱性3件 GSS-TSIGで遠隔実行の恐れ、9.20.30へ

DNSサーバーのソフトBIND 9の開発元ISCは、2026年10月21日(日本時間22日)、BIND 9の脆弱性3件を公表し、修正版の9.20.30を出しました。日本レジストリサービス(JPRS)も10月22日、3件それぞれに「緊急」の告知を出しています。1件は、GSS-TSIGを使う設定でリモートからコードを実行される恐れがあるもので、ほかの2件は、特定の設定でnamedが止まるものです。社内やデータセンターでBINDを動かしている会社は、版と設定を確かめてください。

3件の中身

GSS-TSIGは、Kerberosなどの認証の仕組みを使って、DNSの通信に署名する方法です。Windowsの端末やSamba・Active Directoryの環境で、BINDのゾーンを自動で更新させる構成で使われることがあります(当社の見立て)。RPZ(Response Policy Zones)は、DNSの名前解決を使って危ないサイトを止める仕組みで、フィルタリングに使われます。

ISCは、3件とも一時的な回避策は無く、実際の悪用は把握していないとしています。

修正版と、9.18系の扱い

修正版は9.20.30です(開発版は9.21.27、ISCのサポートの契約者向けの版は9.20.30-S1)。3件とも9.18系も対象に入っていますが、ISCは9.18系の修正版を出していません。ISCは、サポート中の系列だけに修正を出すとしています。

ディストリビューションの対応は、10月22日朝の時点で次のとおりです(当社調べ)。

9.18系を載せたディストリビューションを使っている場合は、その配布元が修正を入れるかを見張り、入らない場合は9.20系への移行を考えます。

DNSのソフトの修正は、同じ10月21日に、キャッシュDNSサーバーのPowerDNS Recursorでも出ています(PowerDNS Recursorに脆弱性7件 5.3.12と5.4.8へ更新を)。

影響する会社・しない会社

• 影響する: BIND 9を、社内のキャッシュDNSサーバーや、自社のドメインの権威DNSサーバーとして動かしている会社です。9.11.0以降(2件は9.16.0以降)が対象です。
• 影響する(とくに): GSS-TSIGを使ってゾーンを自動で更新させている会社です。CVE-2026-94300は、コードの実行の恐れがあります。
• 影響する: RPZを2つ以上使ってフィルタリングしている会社や、redirectのゾーンを使っている会社です。
• 影響しない: BINDを使っていない会社です。UnboundやPowerDNS、Windows ServerのDNSなど、別のDNSのソフトは今回の対象外です。ただし、レンタルサーバーやネットワークの機器の中でBINDが動いていることがあるため、提供元に確かめます。

情シスが今日やること

1. BINDの版を確かめる。 社内のDNSサーバーで named -v を実行し、版を一覧にします。ネットワークの機器や、保守を任せているサーバーの中のBINDも、提供元や保守の会社に聞きます。
2. 当てはまる設定を探す。 named.confで、GSS-TSIG(tkey-gssapi-keytab や tkey-gssapi-credential)、RPZ(response-policy と recursive-only no)、redirect(nxdomain-redirect や redirectのゾーン)と qname-minimization strict を使っていないかを確かめます。GSS-TSIGを使っていれば、最優先にします。
3. 9.20.30かディストリの修正版に上げる。 回避策は無いため、更新が対策です。9.18系のものは、配布元の修正の予定を確かめ、無ければ9.20系への移行の計画を立てます。
4. 再帰の問い合わせを社内に絞る。 キャッシュDNSサーバーが、社外からの再帰の問い合わせを受け付けていないかを確かめます。受け付ける相手を社内の範囲に絞ると、RPZの件などで外から止められる危険を下げられます(当社の見立て)。
5. 止まったときに気づけるようにする。 namedが異常終了したときに、警報が出て自動で立ち上がるかを確かめます。2台以上で冗長にしているかも見直します。