
2026/05/13 3:12
CERT は、dnsmasq に影響する重大なセキュリティ脆弱性に係る 6 の CVE を公표しました。
RSS: https://news.ycombinator.com/rss
要約▶
CERT から、広く利用されている DNS フォワーダーdnsmasqの 6 つの重大なセキュリティ脆弱性情報に関する緊急アラートが発出されました。これは、概ね「古代」とは言えないバージョンに影響を及ぼしています。Simon Kelley は、従来の embargo(秘密保持)期間を待つことなく、利用者自身がこれらの欠陥を修正できるよう、速やかにパッチを自身のウェブサイトに提供しました。これは、AI が生成したバグ報告や重複報告の流入により、従来の処理プロセスがあまりに遅れることから取った措置です。影響を受けた組織は、潜在的な悪用からインフラを保護するため、直ちにアップデートをダウンロードする必要があります。主要開発者は「dnsmasq-2.92rel2」向けにこれらの修正を backport しており、開発ツリーには包括的なリファクタリングを含む追加コミットが含まれており、近日中に利用可能になります。安定した 2.93 リリースは約 1 週間以内の予定であり、現在のリリースサイクルではタイムリーな対応が最優先されており、必要に応じてさらに修正が行われる可能性があります。コミュニティメンバーは、最終化前にメーリングリスト上でリリース кандидатをテストするよう推奨されています。詳細情報とパッチは https://thekelleys.org.uk/dnsmasq/CVE/ でご確認いただけます。
本文
件名:Re: dnsmasq 向けの CVE
送信元:Simon Kelley simon@thekelleys.org.uk 日付:2026 年 5 月 11 日(月)午後 5 時 18 分 UTC 宛先:Dnsmasq-discuss リスト dnsmasq-discuss@lists.thekelleys.org.uk
本スレッドの前のメッセージ:[Dnsmasq-discuss] DHCP リクエストにおける circuit-id のマッチングに関する問題 本スレッドの次のメッセージ:[Dnsmasq-discuss] 不正な RRSIG が dnsmasq をクラッシュさせること
2026 年 5 月 11 日付で、CERT は dnsmasq の深刻なセキュリティ脆弱性に関する 6 つの CVE を発表いたします。これらはいずれも長年にわたって存在していたバグであり、概ね「非常に古い」バージョンを除くすべてのバージョンに影響を与えています。各ベンダーに対して事前にこれらの CVE が開示されており、 patched (パッチ適用済み)の dnsmasq パッケージが適切にリリースされることを期待しています。
詳細情報およびパッチは、以下のウェブサイトより入手可能です: https://thekelleys.org.uk/dnsmasq/CVE/
現在 stable 版である dnsmasq 2.92 リリースに対して、「2.92rel2」というバージョンをリリースしており、上記の場所からダウンロードすることができ、これら全てのパッチが適用されています。
同時に、これらのバグを修正したコミットも開発ブランチ(development tree)にアップロードされます。一部のケースでは backport 用に用意されたパッチと同じものを使用していますが、他のケースでは根本原因に対処するためにより包括的なリファクタリングが行われています。
AI を活用したセキュリティ研究分野には一定の革命的変化が生じており、私自身も過去数ヶ月間にわたり多数のバグレポートへの対応、重複レポートの選別( duplicates は非常に多いです!)、ベンダー事前開示が必要なバグと即時公開・修正を推奨するバグへの優先順位の分類といった作業に取り組んできました。これらの判断は主観的である必要があるところですが、「善意の人物」がこれらバグを発見した回数が多いため、「悪意のある人物」も同様のことを可能にしていたことは疑う余地がありません。そのため、長期の embargo(発表差し止め)が行われる意義は薄れていると考えられます。また、 embargo を実施し backport を提供するために、関係者すべての面で必要とされる時間と労力も甚大です。よって、今後多数のバグについては修正を最優先とし、可能な限り不具合のない新たな dnsmasq リリースを提供する方向で進めてまいります。この目的のためにも、本発表の数週間前に git リポジトリに多数のセキュリティ修正コミットが投入されたことにお気づきでしょう。
まもなく、dnsmasq-2.93rc1 のタグ付けを行い、可能な限り早期に stable 版としての 2.93 リリースを完了させることを目指しています。本リリース候補(release candidate)のテストについては、リスト上のメンバーの皆様の協力が特に重要であり、ご状況に応じてできるだけ早くテストに参加いただくよう呼びかけたいと思います。幸運なれば、2.93 リリースは数週間で提供できるようになります。
AI 生成によるバグレポートの一挙的な増加は止まる兆候を見せていません。そのため、近い将来、このプロセスを再び繰り返す必要があると考えられます。dnsmasq-2.93 にて進行中のバグストリームを最大限に修正することと、そのリリースの及時性との間で緊張関係が生じています。私は發布の及時性を優先し、その後必要であれば継続的に対応してまいります。
Simon