BIND 9の脆弱性(High: CVE-2025-8677, CVE-2025-40778, CVE-2025-40780)と新バージョン(9.18.41, 9.20.15, 9.21.14)

10/23/2025(JST)にBIND 9の脆弱性(High: CVE-2025-8677, CVE-2025-40778, CVE-2025-40780)と新バージョン(9.18.41, 9.20.15, 9.21.14)が公開されました。リモートからの攻撃が可能で、重大度もHighになっています。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。

[過去関連リンク(最新5件)]

CVSS/プライオリティ

CVE-2025-8677
- 影響するバージョン
  - 9.18.0 -> 9.18.39
  - 9.20.0 -> 9.20.13
  - 9.21.0 -> 9.21.12
  - 9.18.11-S1 -> 9.18.39-S1
  - 9.20.9-S1 -> 9.20.13-S1
- Priority/CVSS SCORE
  - NVD(CVSSv4): Not disclosed
  - NVD(CVSSv31): Not disclosed
  - Vendor(CVSSv4): Not disclosed
  - Vendor(CVSSv31): 7.5 High
- CVSS Vector
  - NVD(CVSSv4): Not disclosed
  - NVD(CVSSv31): Not disclosed
  - Vendor(CVSSv4): Not disclosed
  - Vendor(CVSSv31): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- EPSS Score/Percentile
  - DATE(JST): 2025-10-22
  - EPSS: Not Available
  - Percentile: Not Available
CVE-2025-40778
- 影響するバージョン
  - 9.11.0 -> 9.16.50
  - 9.18.0 -> 9.18.39
  - 9.20.0 -> 9.20.13
  - 9.21.0 -> 9.21.12
  - 9.11.3-S1 -> 9.16.50-S1
  - 9.18.11-S1 -> 9.18.39-S1
  - 9.20.9-S1 -> 9.20.13-S1
- Priority/CVSS SCORE
  - NVD(CVSSv4): Not disclosed
  - NVD(CVSSv31): Not disclosed
  - Vendor(CVSSv4): Not disclosed
  - Vendor(CVSSv31): 8.5 High
- CVSS Vector
  - NVD(CVSSv4): Not disclosed
  - NVD(CVSSv31): Not disclosed
  - Vendor(CVSSv4): Not disclosed
  - Vendor(CVSSv31): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N
- EPSS Score/Percentile
  - DATE(JST): 2025-10-22
  - EPSS: Not Available
  - Percentile: Not Available
CVE-2025-40780
- 影響するバージョン
  - 9.16.0 -> 9.16.50
  - 9.18.0 -> 9.18.39
  - 9.20.0 -> 9.20.13
  - 9.21.0 -> 9.21.12
  - 9.16.8-S1 -> 9.16.50-S1
  - 9.18.11-S1 -> 9.18.39-S1
  - 9.20.9-S1 -> 9.20.13-S1
- Priority/CVSS SCORE
  - NVD(CVSSv4): Not disclosed
  - NVD(CVSSv31): Not disclosed
  - Vendor(CVSSv4): Not disclosed
  - Vendor(CVSSv31): 8.6 High
- CVSS Vector
  - NVD(CVSSv4): Not disclosed
  - NVD(CVSSv31): Not disclosed
  - Vendor(CVSSv4): Not disclosed
  - Vendor(CVSSv31): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N
- EPSS Score/Percentile
  - DATE(JST): 2025-10-22
  - EPSS: Not Available
  - Percentile: Not Available

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

https://www.cve.org/CVERecord?id=CVE-2025-8677
- 不正なDNSKEYレコードの処理によるリソース枯渇
- 重要度：High
- 攻撃：リモート
- 特定の不正なDNSKEYレコードを含む、特別に細工されたゾーン内のレコードを参照する場合、CPU が枯渇する可能性があります。
https://www.cve.org/CVERecord?id=CVE-2025-40778
- 一方的なRRによるキャッシュポイズニング攻撃
- 重大度：High
- 攻撃：リモート
- 特定の状況では、BINDは回答からのレコードを受け入れる時にゆるくなりすぎるため、攻撃者がキャッシュに偽造したデータを挿入することを許してしまいます。
https://www.cve.org/CVERecord?id=CVE-2025-40780
- 弱い疑似乱数生成装置(PRNG)に起因するキャッシュポイズニング
- 特定の状況では、使用されている疑似乱数生成装置(PRNG)が弱いため、BINDが使用するソースポートとクエリIDを攻撃者が予測できる可能性があります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。