【S#16】BIND 9にキャッシュポイズニング脆弱性、ISCが修正版を公開

本記事は セキュリティ速報シリーズ第16回 です。

DNSサーバ用ソフトウェア「BIND 9」に、キャッシュポイズニングやDoS攻撃につながる複数の脆弱性が判明した。開発元のInternet Systems Consortium（ISC）は2025年10月22日、修正版の提供を開始している。​

報告された主な脆弱性は次の3件。

• CVE-2025-40778：応答処理に不備があり、偽造レコードがキャッシュへ挿入されるおそれ
• CVE-2025-40780：疑似乱数生成器の欠陥により、送信元ポートおよびクエリIDを推測される可能性
• CVE-2025-8677：不正なDNSKEYを含むゾーンを問い合わせることで、CPUリソースを過剰に消費させる可能性（DoS攻撃）

いずれもリモートからの悪用が可能であり、実際にキャッシュ改ざんやDNSサービス停止を引き起こす恐れがあるとされる。ISCは修正済みバージョンをリリース済みで、利用者に早急なアップデートを求めている。

対象バージョンと修正版

• 影響範囲：BIND 9.20系・9.21系の一部
• 修正版：BIND 9.20.9 / 9.21.8 以降に更新することで解消
• 旧系統（9.18系以前）は影響未評価のため注意が必要

管理者は、早急に利用中のバージョンを確認し、該当する場合は最新ビルドへ適用することが推奨される。パッチ適用が困難な場合は、該当機能を無効化する暫定措置も検討すべきである。​

※本記事は、当社が2025年10月に社内およびクライアント様へご案内したメール内容を基に、Web読者の皆さまにも有益な情報となるよう加筆・編集のうえ公開しています。

出典・参考

Security NEXT（セキュリティネクスト）
https://www.security-next.com/​

SIOS SECURITY BLOG（サイオステクノロジー セキュリティブログ）
https://security.sios.jp/​

NIC（日本ネットワークインフォメーションセンター）
https://www.nic.ad.jp/​

JPCERT/CC（JPCERTコーディネーションセンター）
https://www.jpcert.or.jp/