【ITニュース解説】BIND 9の脆弱性対策について（CVE-2025-40775）

ITニュース概要

広く使われるDNSサーバーソフト「BIND 9」に、外部からサービスを停止させられる脆弱性が発見された。この脆弱性を悪用されるとサービス停止攻撃（DoS攻撃）を受ける恐れがあるため、利用者は速やかに修正版へのアップデートが必要である。

ITニュース解説

インターネットを利用する際、私たちは「google.com」のようなウェブサイトのアドレスをブラウザに入力する。すると目的のページが表示されるが、この裏側ではDNSという仕組みが働いている。DNSはドメインネームシステムの略で、インターネット上の住所録のような役割を担う。コンピュータ同士が通信を行う際には、IPアドレスと呼ばれる「192.0.2.1」のような数字の羅列で相手を特定する。しかし、人間にとってこの数字を覚えるのは難しい。そこで、人間が覚えやすいドメイン名と、コンピュータが理解するIPアドレスを相互に変換する仕組みとしてDNSが存在する。このDNSの機能を提供するコンピュータがDNSサーバーである。もしDNSサーバーが停止してしまうと、ドメイン名からIPアドレスを調べることができなくなり、ウェブサイトの閲覧やメールの送受信ができなくなるなど、インターネットの利用に深刻な影響が出る。 このDNSサーバーを動作させるためのソフトウェアはいくつか存在するが、その中でも世界中で非常に広く利用されているものが「BIND 9」である。BIND 9は、インターネットの初期から開発が続く、歴史と実績のあるソフトウェアで、多くの組織やインターネットサービスプロバイダのDNSサーバーで採用されている。まさにインターネットの根幹を支える重要なソフトウェアの一つと言える。そのため、BIND 9の安定性やセキュリティは極めて重要である。 今回、このBIND 9にセキュリティ上の欠陥、すなわち「脆弱性」が発見された。脆弱性とは、ソフトウェアの設計やプログラムの不備によって生じる情報セキュリティ上の弱点のことで、悪用されるとシステムが乗っ取られたり、サービスが停止したりする原因となる。今回報告された脆弱性には、「CVE-2025-40775」という世界共通の識別番号が割り当てられている。この脆弱性の内容は、攻撃者が巧妙に細工した特殊な問い合わせをDNSサーバーに送りつけると、それを受信したBIND 9が処理の途中で異常な状態に陥り、最終的にプログラムが強制終了してしまうというものである。 BIND 9が強制終了するということは、DNSサーバーとしての機能が完全に停止することを意味する。これにより、そのDNSサーバーを利用している全てのユーザーがドメイン名とIPアドレスの変換を行えなくなり、結果として管理下のウェブサイトやメールといった各種サービスが利用できなくなる事態に陥る。このような攻撃は、サービスの提供を妨害することから「サービス運用妨害（DoS: Denial of Service）攻撃」と呼ばれる。今回の脆弱性は、外部の攻撃者が遠隔からDNSサーバーを停止させることが可能になるものであり、影響が広範囲に及ぶ可能性があるため、非常に深刻度が高い問題として扱われている。 この脆弱性の影響を受けるのは、特定のバージョンのBIND 9である。開発元であるISC (Internet Systems Consortium) が公開した情報によると、広く使われている複数のバージョンが対象となっている。したがって、BIND 9でDNSサーバーを運用しているシステムの管理者は、まず自身が管理するサーバーのBIND 9のバージョンを正確に確認し、脆弱性の影響を受けるかどうかを判断する必要がある。 この問題への対策として、ISCは脆弱性を修正した新しいバージョンのBIND 9をすでに公開している。最も確実かつ推奨される対策は、影響を受けるバージョンのBIND 9を、この修正済みのバージョンにアップデートすることである。ソフトウェアのアップデートは、発見された脆弱性そのものをプログラムレベルで修正し、攻撃の根本的な原因を取り除くための最も基本的なセキュリティ対策である。アップデートを適用することで、攻撃者がこの脆弱性を悪用する手段を完全に断つことができる。何らかの理由で即座にアップデートが困難な場合に備え、特定の設定変更によって攻撃の影響を一時的に回避する方法も提示されているが、これはあくまで暫定的な措置に過ぎない。根本的な安全を確保するためには、可能な限り速やかにアップデートを実施することが強く推奨される。 今回のニュースは、将来システムエンジニアを目指す上で重要な教訓を示している。一つは、DNSのようなインターネットを支える基盤技術への理解の重要性だ。普段意識せずに利用しているサービスが、どのようなソフトウェアによって支えられているかを知ることは、問題が発生した際の迅速な原因究明と対応に繋がる。もう一つは、セキュリティに対する継続的な意識である。システムは常に外部からの攻撃の脅威に晒されており、脆弱性は日々発見される。そのため、セキュリティに関する最新の情報を常に収集し、脆弱性が公表された際にはその内容を理解し、迅速かつ的確に対応する能力がエンジニアには不可欠である。システムを構築するだけでなく、それを継続的に保守・運用し、安全な状態を維持し続けることが、エンジニアの重要な責務なのである。