BIND 9における脆弱性について(2026年3月)

2026年3月25日(現地時間)、 BIND 9に存在する複数の脆弱性の情報がISC (Internet Systems Consortium)から公開されました。

ISCは、複数の脆弱性のうち2件の深刻度を高(High)と評価しています。

アナウンスの原文へのリンクを以下に掲載します。管理者の皆様におかれましては、ネームサーバソフトウェアをご確認いただき、適切な処置をお願いいたします。

CVE-2026-1519: Excessive NSEC3 iterations cause high CPU load during insecure delegation validation: https://kb.isc.org/docs/cve-2026-1519
CVE-2026-3104: Memory leak in code preparing DNSSEC proofs of non-existence: https://kb.isc.org/docs/cve-2026-3104
CVE-2026-3591: A stack use-after-return flaw in SIG(0) handling code may enable ACL bypass: https://kb.isc.org/docs/cve-2026-3591
CVE-2026-3119: Authenticated query containing a TKEY record may cause named to terminate unexpectedly: https://kb.isc.org/docs/cve-2026-3119

修正されたバージョンとダウンロードページ

9.18.47
9.20.21
9.21.20

（緊急）BIND 9.xの脆弱性（過剰なCPU負荷の誘発）について（CVE-2026-1519） - バージョンアップを強く推奨 -: https://jprs.jp/tech/security/2026-03-26-bind9-vuln-nsec3.html
BIND 9.20.xの脆弱性（ACLのバイパス）について（CVE-2026-3591） - フルリゾルバー（キャッシュDNSサーバー）／権威DNSサーバーの双方が対象、バージョンアップを強く推奨 -: https://jprs.jp/tech/security/2026-03-26-bind9-vuln-sig0.html
（緊急）BIND 9.20.xの脆弱性（メモリリークの発生）について（CVE-2026-3104） - BIND 9.20系列のみが対象、バージョンアップを強く推奨 -: https://jprs.jp/tech/security/2026-03-26-bind9-vuln-noexist.html
BIND 9.20.xの脆弱性（DNSサービスの停止）について（CVE-2026-3119） - フルリゾルバー（キャッシュDNSサーバー）／権威DNSサーバーの双方が対象、バージョンアップを強く推奨 -: https://jprs.jp/tech/security/2026-03-26-bind9-vuln-tkey.html

以上