PowerDNS セキュリティアドバイザリ 2026-02: DNSdist 脆弱性概要 このセキュリティアドバイザリでは、PowerDNS DNSdist に対して複数の脆弱性修正が公開されています。影響を受けるバージョンは主に 1.9.0 ～ 1.9.11 および 2.0.0 ～ 2.0.2 です。影響を受けないバージョンは 1.9.12 および 2.0.3 です。 以下に各脆弱性の詳細を示します。 1. CVE-2026-0396: ウェブダッシュボードにおけるHTMLインジェクション 脆弱性の概要: 攻撃者は構成されたDNSクエリを送信してドメイン固有の動的ルールを発動させ、内部のWebダッシュボードにHTMLコンテンツをインジェクトできます。 影響範囲: PowerDNS DNSdist 1.9.0 - 1.9.11, 2.0.0 - 2.0.2 修正方法: 修正済みバージョンにアップグレードする。 2. CVE-2026-0397: CORS設定ミスによる情報漏洩 脆弱性の概要: 内部Webサーバーが有効な場合、攻撃者はダッシュボードにログインした管理者を悪意のあるウェブサイトへ誘導し、ダッシュボード上の実行中の構成情報を窃取できます。これはクロスオリジンリソースシェアリング（CORS）ポリシーの設定不備に起因します。 影響範囲: PowerDNS DNSdist 1.9.0 - 1.9.11, 2.0.0 - 2.0.2 修正方法: 修正済みバージョンにアップグレードするか、内部Webサーバーを無効化する。 3. CVE-2026-24028: Lua経由でDNSパケット解析時のアウトオブバundsリード 脆弱性の概要: カスタムLuaコードで を使用してDNSパケットを解析する際、攻撃者が構成されたDNS応答パケットを送信することでアウトオブバウンズリード（範囲外読み出し）をトリガーできます。これにより、クラッシュ、サービス拒否（DoS）、または潜在的な情報漏洩につながる可能性があります。 影響範囲: PowerDNS DNSdist 1.9.0 - 1.9.11, 2.0.0 - 2.0.2 修正方法: 修正済みバージョンにアップグレードするか、 の使用を中止する。 4. CVE-2026-24029: DNS over HTTPS (DoH) におけるACLバイパス 脆弱性の概要: （Lua上では ）オプションが無効になっている場合（デフォルトは有効）、 プロバイダを提供するDoHエンドポイントにおいてACLチェックがスキップされ、すべてのクライアントが構成されたACLをバイパスしてDoHクエリを送信できるようになります。 影響範囲: PowerDNS DNSdist 1.9.0 - 1.9.11, 2.0.0 - 2.0.2 修正方法: 修正済みバージョンにアップグレードするか、 オプションを有効に維持する。 5. CVE-2026-24030: DoQおよびDoH3における無制限のメモリ割り当て 脆弱性の概要: 攻撃者はDoQまたはDoH3クエリを送信し、DNSdistが処理中に過剰なメモリを割り当てさせることでサービス拒否（DoS）を引き起こすことができます。特定の条件下では、システムがメモリ不足に陥り、プロセスが強制終了する可能性があります。 影響範囲: PowerDNS DNSdist 1.9.0 - 1.9.11, 2.0.0 - 2.0.2 修正方法: 修正済みバージョンにアップグレードする。 6. CVE-2026-27854: LuaでのEDNSオプション解析時におけるUse After Free 脆弱性の概要: 攻撃者は構成されたDNSクエリを送信し、フリー後使用（use-after-free）脆弱性をトリガーできます。特定の条件下では、 メソッドが変更されたDNSパケットバージョンを参照し、フリー後使用を引き起こしてサービス拒否（DoS）に至る可能性があります。 影響範囲: PowerDNS DNSdist 1.9.0 - 1.9.11, 2.0.0 - 2.0.2 修正方法: 修正済みバージョンにアップグレードするか、 の使用を避ける。 7. CVE-2026-27853: 大きなDNSパケットのリライト時のアウトオブバウンズライト 脆弱性の概要: 攻撃者は構成されたDNS応答を送信し、アウトオブバウンズライト（範囲外書き込み）をトリガーできます。 または メソッドを使用する際、書き換えられたパケットが初期応答より大きく、かつ65535バイトを超えると、クラッシュおよびサービス拒否（DoS）を引き起こす可能性があります。 影響範囲: PowerDNS DNSdist 1.9.0 - 1.9.11, 2.0.0 - 2.0.2 修正方法**: 修正済みバージョンにアップグレードするか、 または の使用を避ける。