チェコのドメインの登録の機関CZ.NICは、2026年10月21日、権威DNSサーバーのソフトKnot DNSの3.6.2と3.5.10を出しました。どちらも「セキュリティの不具合の修正版」で、更新を勧めています。日本レジストリサービス(JPRS)も10月22日、サービス不能(DoS)の攻撃が可能になる問題を含む複数のセキュリティの修正だと告知しました。自社のドメインをKnot DNSで公開している会社や、ホスティングの会社は、版を確かめてください。
直した内容
JPRSの告知。DoSの攻撃が可能になる問題を含む、複数のセキュリティの修正出典: 日本レジストリサービス(JPRS)「Knot DNSの脆弱性情報が公開されました」(引用)
CZ.NICの変更の一覧によると、3.6.2と3.5.10で直したセキュリティに関わる不具合は、次のとおりです。
- DNSのメッセージを読むとき、名前の圧縮の印(ポインター)を際限なくたどってしまう(libknot)
- QUICの接続を片付けるとき、接続の表を使い切ってしまう(libknot)
- DoT(TLSで暗号化したDNS)の送信で、送り先が詰まると空回りし続ける(libknot)
- ZONEMD(ゾーンの中身の検証)で、NSEC3と重なる名前を検証から漏らす(knotd)
- カタログのゾーンの更新で、名前の重なる別のゾーンを消してしまう(knotd、3.6.2だけ)
Knot DNS 3.6.2の変更の一覧(英語)。libknotの3件などを直した出典: CZ.NIC「Version 3.6.2 - Knot DNS」(引用)
変更の一覧と告知には、CVEの番号や深刻度は書かれていません。どの不具合がDoSにつながるかの説明もありません。最初の3件は、外から届くDNSのメッセージや接続の扱いに関わるため、インターネットに公開している権威DNSサーバーから先に上げるのが安全です(当社の見立て)。
同じ日に、Unboundの修正もUbuntuから
Ubuntuは同じ10月21日、キャッシュDNSサーバーのUnboundの修正(USN-8946-1)を出しました。細工した応答や接続でUnboundが止まる、資源を使い切る、キャッシュに偽の情報を入れられる、などの複数の脆弱性を、各版のパッケージに入れたものです。Knot DNSとは別のソフトの、別の欠陥です。
| Ubuntu |
unboundの修正版 |
| 26.04 LTS |
1.24.2-1ubuntu2.4 |
| 24.04 LTS |
1.19.2-1ubuntu3.12 |
| 22.04 LTS |
1.13.1-1ubuntu5.17 |
DNSのソフトの修正は、この週に相次いでいます。同じ日には、BIND 9の3件(BIND 9に脆弱性3件 GSS-TSIGで遠隔実行の恐れ、9.20.30へ)と、PowerDNS Recursorの7件(PowerDNS Recursorに脆弱性7件 5.3.12と5.4.8へ更新を)も出ています。
影響する会社・しない会社
- 影響する: Knot DNSを、自社のドメインの権威DNSサーバーとして動かしている会社や、ホスティング・DNSのサービスを提供している会社です。3.6系は3.6.2、3.5系は3.5.10に上げます。
- 影響する: UbuntuでUnboundをキャッシュDNSサーバーとして使っている会社です。USN-8946-1の版に上げます。
- 影響しない: Knot DNSもUnboundも使っていない会社です。DNSをクラウドやレンタルのサービスに任せている場合は、提供元が対応します。
