【ITニュース解説】Blast radius of a compromised authoritative server: NSD 4.15.3 and its four CVEs

インターネットの基盤を支える重要なシステムの一つにDNS（Domain Name System）がある。これは、私たちが普段使うウェブサイトのアドレス（ドメイン名）と、コンピューターが理解する数字の羅列（IPアドレス）を結びつける、いわばインターネットの住所録のような役割を果たしている。そのDNSシステムの中で、「権威DNSサーバー」は、特定のドメインに関する正確な情報を管理し、問い合わせに対して「これが正しい情報です」と権威を持って回答する役割を担う。今回のニュースは、この権威DNSサーバーの一つである「NSD」というソフトウェアに、深刻なセキュリティ上の問題、つまり「脆弱性」が複数発見され、それを修正した新バージョンNSD 4.15.3が公開された、という内容だ。

NSDのバージョン4.10.0から4.15.2の間に存在していたこの脆弱性は、具体的には「スタックオーバーライト」と呼ばれるものだった。これは、プログラムがデータを一時的に保存する領域（スタック）に、想定以上のデータが書き込まれてしまうことで、他の重要なデータが上書きされてしまう現象を指す。このような状態が発生すると、プログラムの正常な動作が妨げられるだけでなく、最悪の場合、攻撃者によってサーバー上で「任意のコマンドを実行」されてしまう可能性がある。これは、サーバーを攻撃者の意図通りに操作されてしまう可能性がある、非常に危険な状態を示している。

この脆弱性が悪用されるためには、攻撃者が特別に細工した「ゾーンファイル」をNSDのプログラムに直接解析させる必要がある。ゾーンファイルとは、ドメイン名とIPアドレスの対応など、DNSに関する情報が記述されたテキストファイルのことだ。脆弱性はCVE-2026-101338、CVE-2026-101339、CVE-2026-101341、CVE-2026-101337の四つとして識別されており、セキュリティ評価基準であるCVSS v4では8.7という高いスコアが付けられている。これは危険度が非常に高いことを意味するが、今のところ、実際にこの脆弱性が悪用された事例は確認されていない。

なぜこの脆弱性が「ブラスト半径（爆発の影響範囲）」という言葉で表現されているのか、それは権威DNSサーバーがもし攻撃者によって侵害された場合、その影響が単にサーバーが停止するだけでは済まない、広範囲に及ぶことを意味している。

まず一つ目の影響は「情報漏洩」だ。権威DNSサーバーは、そのドメインに関する様々な機密情報を持っている可能性がある。例えば、企業内部のネットワークサービスに関する情報や、DNSSECと呼ばれるDNSのセキュリティ強化技術に必要な情報などがゾーンファイルに含まれていることがあり、これらが攻撃者に知られてしまう恐れがある。

二つ目の影響は「回答の整合性侵害」だ。もし攻撃者がNSDサーバーを乗っ取ってしまえば、そのドメインについて「間違った情報」をインターネット全体に回答し始めることが可能になる。例えば、ある会社のウェブサイトのIPアドレスを、攻撃者が用意した偽のサイトのIPアドレスに書き換えて回答する、といったことができてしまう。この偽の情報は、インターネット上の他のDNSサーバー（再帰リゾルバ）に一時的に保存される（「キャッシュ」される）。キャッシュは一度問い合わせがあった情報を保存して、次回に素早く答えるための仕組みだが、ここに偽の情報が保存されてしまうと、その情報が正しいと信じ込まれ、しばらくの間、多くのユーザーが偽のサイトに誘導されることになる。たとえ攻撃者が攻撃をやめても、キャッシュの有効期限（TTL）が切れるまでは偽の情報がインターネット上に残り続け、影響が持続する。

三つ目の影響は「セカンダリサーバーへの伝播」だ。信頼性向上のため、多くのDNSシステムでは「プライマリサーバー」と「セカンダリサーバー」という複数台の権威DNSサーバーを運用している。プライマリサーバーが持っているゾーンデータは、定期的にセカンダリサーバーにコピーされる（これを「ゾーン転送」という）。もしプライマリサーバーが攻撃者に乗っ取られ、偽の情報を持つゾーンファイルに書き換えられたとしたら、その偽の情報が正常なセカンダリサーバーにもコピーされてしまい、セカンダリサーバーからも偽の情報が発信されるようになる。これにより、影響範囲がさらに拡大してしまう。

これらの影響を考えると、NSDサーバーを運用している場合は、すぐにこの脆弱性に対応することが極めて重要だ。ただし、脆弱性の悪用されやすさは、NSDサーバーの「運用形態」によって多少異なる。攻撃は、外部から作成されたゾーンファイルをNSDが解析する時に発生する可能性が高い。例えば、顧客が入力した情報に基づいてゾーンファイルを生成する「マネージドDNSプラットフォーム」は最もリスクが高く、最優先での対応が求められる。一方、他のNSDサーバーからゾーン転送によってデータを受け取るだけの「セカンダリ専用」のサーバーは、悪用される可能性は低いとされているが、それでもゾーンファイルを保存するディレクトリに書き込み権限を持つアカウントがあれば、悪意のあるファイルを送り込まれるリスクはゼロではないため、どのような役割のサーバーであってもパッチ適用は必須となる。

システム運用者は、NSDサーバーの不審な挙動にも注意を払うべきだ。メモリの破損が関係する脆弱性であるため、サーバーが突然停止したり、再起動を繰り返したり、通常とは異なるアカウントがDNS関連の設定を変更したりするなどの異常な兆候が見られた場合は、警戒が必要だ。また、nsd-checkzoneというツールを使って、既存のゾーンファイルに問題がないか事前にチェックすることも、アップグレード前の有効な確認手段となる。

最も確実な対策は、NLnet Labsが公開した最新バージョン「NSD 4.15.3」に、できるだけ早くアップグレードすることだ。もしすぐにアップグレードできない場合でも、個別の脆弱性に対するパッチファイルを適用することで、一時的にリスクを軽減する方法も提供されている。アップグレード後は、実際に稼働しているNSDのバージョンが4.15.3になっていることを確認することが重要だ。大規模なシステムを運用している場合は、個々のサーバーにパッチを当てるよりも、OSのイメージやソフトウェアパッケージを最新版に置き換える方が、より確実で管理しやすいため推奨される。

NSDの脆弱性は、単一のサーバーの問題に留まらず、インターネット全体のDNSの信頼性に影響を及ぼす可能性があるため、迅速かつ適切な対応が求められる。