日本レジストリサービス(JPRS)は2026年10月15日、権威DNSサーバー「NSD」の脆弱性4件を案内しました。複数の脆弱性により、任意のコマンドを実行される恐れがあります。脆弱性の公開に合わせて修正版も公開されており、NSDを運用する会社は利用状況と更新の要否を確認する必要があります。
4件ともスタック上書きの問題、修正版も公開
脆弱性の公開日は2026年10月14日(中央ヨーロッパ夏時間)です。JPRSは、修正版の参考情報として「NSD 4.15.3」のセキュリティリリースを案内しています。
4件はいずれも、プログラムが使うメモリー領域である「スタック」を上書きする問題です。脆弱性の識別番号と、問題を引き起こすデータの種類は次のとおりです。
- CVE-2026-101337：特殊な形式のbase64 RDATAによるスタック上書き。
- CVE-2026-101338：細工したSVCBまたはHTTPSレコードによるスタック上書き。
- CVE-2026-101339：細工したHIPレコードによるスタック上書き。
- CVE-2026-101341：特殊な形式のTXT-DATA RDATAによるスタック上書き。
確認の軸は、まずNSDを使っているか、次に稼働中の版が対策対象か、という順番です。今回の資料には、影響を受ける版の範囲や、攻撃が成立する詳しい条件は書かれていません。特定のレコードを使っていないという理由だけで、対象外と判断することは避けてください。
また、NSD 4.15.3が案内されていることと、自社環境でその版へ更新できることは分けて確認します。自社で適用する更新方法や、委託先が提供する修正の扱いは、運用担当者に確認してください。
影響する会社・しない会社
- 影響する: 権威DNSサーバーとしてNSDを運用している会社です。まず稼働版を確認する対象になります。影響を受ける版の範囲は、今回の資料には書かれていません。
- 影響する: DNSの運用を委託しており、委託先がNSDを使用している会社です。自社で直接更新しない場合も、対象判定と修正の適用状況を委託先に確認してください。
- 影響しない: 自社と委託先の対象環境でNSDを使用していないことを確認できた会社は、今回のNSDの脆弱性への対応対象ではありません。ほかのDNSソフトウェアの安全性を示す発表ではない点には留意してください。
利用製品が分からない場合は、まだ「影響しない」とは判断できません。DNSを使っているという情報だけではなく、運用に使われているソフトウェア名まで確認することが出発点です。
情シスが今日やること
- 資産台帳と運用資料でNSDの利用有無を確認します。 DNSサーバーのソフトウェア名、稼働版、管理担当者の記録を見ます。版が記録されていなければ、サーバーの運用担当者に確認を依頼します。今回の資料には、確認に使う管理画面やコマンドは書かれていません。
- 委託している環境は、委託先へ問い合わせます。 今日の確認依頼に、4件の識別番号を添えてください。NSDの利用有無、稼働版、対象判定、修正適用済みかどうかを回答項目にし、回答予定日も確認します。
- 対象判定と更新方法を確認します。 JPRSが案内するNSD 4.15.3のセキュリティリリースを確認し、運用担当者と自社環境への適用方法を整理します。資料に対象版の範囲がないため、版番号だけで対応不要と決めないでください。
- 担当者と対応予定を記録して共有します。 NSDを利用していると分かった環境について、確認担当者、更新予定、未確認事項をまとめ、DNSの運用責任者へ知らせます。今日中の更新を発表が求めているわけではありません。まず確認依頼を出し、回答期限と対応予定を合意してください。
