| タイトル | PowerDNSのPowerDNS Authoritative Serverにおけるコードインジェクションの脆弱性 |
|---|---|
| 概要 | 攻撃者は通知リクエストを送信することで、新しいセカンダリドメインをbindバックエンドに追加させることができます。しかし、そのバックエンドの設定を無効なものに更新させるため、次回の再起動時にバックエンドが動作しなくなり、管理者が手動で修正操作を行う必要があります。 |
| 想定される影響 | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年4月22日0:00 |
| 登録日 | 2026年4月27日11:18 |
| 最終更新日 | 2026年4月27日11:18 |
| CVSS3.0 : 緊急 | |
| スコア | 9.8 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| PowerDNS |
| PowerDNS Authoritative Server 4.9.0 以上 4.9.14 未満 |
| PowerDNS Authoritative Server 5.0.0 以上 5.0.4 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年04月27日] 掲載 |
2026年4月27日11:18 |
| 概要 | An attacker can send a notify request that causes a new secondary domain to be added to the bind backend, but causes said backend to update its configuration to an invalid one, leading to the backend no longer able to run on the next restart, requiring manual operation to fix it. |
|---|---|
| 公表日 | 2026年4月22日23:16 |
| 登録日 | 2026年4月25日4:05 |
| 最終更新日 | 2026年4月25日3:52 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:powerdns:authoritative:*:*:*:*:*:*:*:* | 4.9.0 | 4.9.14 | |||
| cpe:2.3:a:powerdns:authoritative:*:*:*:*:*:*:*:* | 5.0.0 | 5.0.4 | |||