Marlink Cyberにより、ISC BINDの脆弱性が発見・公表された

インターネットおよびローカルネットワーク環境の両方で名前解決を提供する、広く利用されているドメインネームシステム（DNS）サービスであるISC BINDに、脆弱性が確認されました。

脆弱性の概要

ソフトウェア：ISC BIND

ソフトウェアURL：https://www.isc.org/bind/

脆弱性ID: MCSAID-2025-015

CVE ID: CVE-2025-13878

CVSS: 7.5 (HIGH)

脆弱性の種類: サービス拒否 (DoS)、サービスクラッシュ

現在の状況: ベンダーによる修正/パッチがリリース済み。

悪用難易度: 容易、実環境での確認例なし

影響を受けるバージョン:

• 9.18.43 以前 (9.18.40 - 9.18.43, 9.18.40-S1 - 9.18.43-S1)
• 9.20.17 以前 (9.20.13 - 9.20.17、9.20.13-S1 - 9.20.17-S1)
• 9.21.16 以前 (9.21.12 - 9.21.16)

修正済みバージョン:

• 9.18.44（9.18.44-S1でも修正済み）
• 9.20.18（9.20.18-S1でも修正済み）
• 9.21.17

影響

この脆弱性を悪用すると、リモートの攻撃者が BIND サービスをクラッシュさせ、サービス拒否（DoS）状態を引き起こす可能性があります。DNS 解決は、ほとんどのインターネットおよび企業サービスにとって不可欠な要素であるため、この障害は運用に重大な影響を及ぼす可能性があります。

悪用

攻撃者が細工されたDNSメッセージをサーバーに処理させるだけで済むため、悪用は容易です。

現在の分析によると、任意のコード実行は不可能である。この脆弱性の影響は、クラッシュに起因するサービスの中断に限定される。

ステータス

脆弱性の現状：

• この脆弱性は公開されています。
• ベンダーによる修正プログラム/パッチがリリースされています。

兆候

この脆弱性の兆候には、以下のものが含まれる可能性があります：

ホスト上で:

• BIND/DNSサービスのクラッシュ
• BINDのアサーション失敗

メッセージ例:

rdata/generic/brid_68.c:87: REQUIRE(rdata->length >= 3) failed

rdata/generic/hhit_67.c:87: REQUIRE(rdata->length >= 3) 失敗

ネットワーク上:

• RDATAの長さが3オクテット未満のDNSリソースレコードタイプ - HHIT (タイプ67) および BRID (タイプ68)

推奨事項

影響を受けるバージョンの ISC BIND を実行している場合は、修正済みのバージョンにアップグレードすることを推奨します:

• 9.18.44
• 9.18.44-S1
• 9.20.18
• 9.20.18-S1
• 9.21.17

脆弱性の詳細

2つの不正な形式のDNSリソースレコードタイプ（HHIT（タイプ67）およびBRID（タイプ68））は、RDATAの長さが3オクテット未満の場合、BINDの ` dns_rdata_towire()` 実装においてアサーションを引き起こします。このアサーションにより ` named` デーモンが異常終了し、即時のサービス拒否（DoS）状態を引き起こします。 HHITおよびBRIDは、ISC BINDにおけるIETF DRIPエンティティタグの実装の一部です。

この脆弱性は、フォワーディングモードおよび再帰モードの両方でリモートから悪用可能です。攻撃者は、長さが規定未満のHHITまたはBRID RRを含む細工されたDNSメッセージをサーバーに処理させるだけで済みます。

タイムライン

2025-11-01 - ISCの公式セキュリティ担当者に脆弱性が報告された

2025-11-01 – ISC が報告を受領し、追加の質問を行ったことを確認

2025年11月4日 – ISCにより脆弱性が確認された

2025-12-02 – CVEレコードが予約された：CVE-2025-13878

2026年1月21日 – 脆弱性の公開および公式修正プログラムの提供開始

予想される質問と回答

• DRIP Entity Tags を使用していませんが、私の ISC BIND インストールは依然として脆弱ですか？

はい、その機能を使用していなくても、脆弱なバージョンの ISC BIND（またはそれに基づくソフトウェア、ソリューション、アプライアンス）を実行している場合、ISC BIND のインストールは脆弱です。

• 他のDNSソフトウェアサービスも脆弱ですか？

ISC BINDのコードベースに基づいており、かつ影響を受けるバージョンを使用している場合のみです。Unbound、PowerDNS、dnsmasqなどの他のDNSソフトウェアは、その機能を実装していないため、この特定の脆弱性の影響を受けません。

• 他のDNSソリューションにも脆弱性はあるか？

影響を受けるバージョンの ISC BIND を基盤とするアプライアンスやその他のソリューションを使用している場合、脆弱なインストール環境が存在する可能性があります。ベンダーに確認する際は、参照として CVE-2025-13878 を明記してください。

参考文献

ISC BIND – CVEエントリ - CVE-2025-13878

IETF DRIP「ドメインネームシステムにおけるエンティティタグ」、2025年8月19日：

BIND 9 ソフトウェア脆弱性マトリックス

Marlink サイバーセキュリティアドバイザリ - MCSAID-2025-015 – ISC BIND

ISC BINDにおけるBRID / HHITレコードの実装に関する問題

ISC Bind

CVE-2025-13878