JVNVU#99225456: ISC BINDにおける複数の脆弱性（2026年5月）

ISC（Internet Systems Consortium）が提供するISC BINDには、複数の脆弱性が存在します。

CVE-2026-3039

CVE-2026-3592

CVE-2026-3593、CVE-2026-5947

CVE-2026-5946

CVE-2026-5950

ISC（Internet Systems Consortium）が提供するISC BINDには、次の複数の脆弱性が存在します。

GSS-APIトークンを介したTKEYベースの認証を使用するように設定されたBINDサーバーが細工されたパケットを受信・処理した場合、メモリを過剰に消費する（CVE-2026-3039）
BINDリゾルバは、リソース消費の増幅および枯渇攻撃に対して脆弱なため、細工されたゾーンに対してクエリを送信すると通常よりも過剰なリソースを消費する（CVE-2026-3592）
DNS-over-HTTPSの実装に、use-after-freeの脆弱性が存在する（CVE-2026-3593）
namedにおける特定のDNSメッセージ処理に複数の不備があり、細工されたリクエストが影響を受けるコードパスに到達すると、アサーション違反が発生する（CVE-2026-5946）
BINDがSIG(0)で署名された着信DNSメッセージの署名を検証中に、競合状態が発生しメモリ解放後の使用（use-after-free）が起き、未定義動作が発生する（CVE-2026-5947）
BIND 9のリゾルバ状態マシンにおいて、不正なサーバーへの対応処理中に無制限の再送信ループが起こる（CVE-2026-5950）

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

遠隔の攻撃者によって、サービス運用妨害（DoS）攻撃を引き起こされる（CVE-2026-3039、CVE-2026-3592、CVE-2026-5946、CVE-2026-5947、CVE-2026-5950）
遠隔の攻撃者によって、メモリ破損を引き起こされる（CVE-2026-3593）

CVE-2026-3039、CVE-2026-3592、CVE-2026-5946、CVE-2026-5950：
アップグレードする
開発者が提供する次のパッチバージョンにアップデートしてください。

CVE-2026-3593、CVE-2026-5947：
アップグレードする
開発者が提供する次のパッチバージョンにアップデートしてください。

なお、開発者はCVE-2026-3593およびCVE-2026-5946に対するワークアラウンドも提供しています。詳細は、開発者が提供する情報を確認してください。

ベンダ	リンク
Internet Systems Consortium（ISC）	CVE-2026-3039: BIND 9 server memory exhaustion during GSS-API TKEY negotiation
	CVE-2026-3592: Amplification vulnerabilities via self-pointed glue records
	CVE-2026-3593: Heap use-after-free vulnerability in BIND 9 DNS-over-HTTPS implementation
	CVE-2026-5946: Invalid handling of CLASS != IN
	CVE-2026-5947: SIG(0) validation during query flood may lead to undefined behavior
	CVE-2026-5950: Unbounded resend loop in BIND 9 resolver

JVNVU#99225456 ISC BINDにおける複数の脆弱性（2026年5月）