概要
Cesanta Mongooseのバージョン7.20以前に、DNSトランザクションIDの生成に関する脆弱性（CVE-2026-2966）が報告されています。
具体的には、src/dns.cファイル内のmg_sendnsreq関数において、DNSトランザクションIDの生成に使用される乱数値が不十分である可能性があるとされています。この問題は、リモートから悪用される可能性があります。
攻撃の複雑性は高く、悪用は困難であると評価されていますが、エクスプロイトコードは既に公開されていると報告されています。ベンダーには早期に連絡があったものの、現時点では応答がないとのことです。
影響範囲
- Cesanta Mongoose バージョン 7.20 以前
想定される影響
DNSトランザクションIDの予測可能性が高まることで、DNSスプーフィングなどの攻撃に悪用される可能性があります。これにより、ユーザーが意図しない悪意のあるウェブサイトへ誘導されたり、通信内容が傍受されたりするリスクが考えられます。ただし、攻撃の成立には高い技術的複雑性が要求されると報告されています。
攻撃成立条件・悪用状況
攻撃成立条件
- 攻撃はリモートから実行される可能性があります。
- 攻撃の成立には高い複雑性が伴い、悪用は困難であると評価されています。
mg_sendnsreq関数のrandom引数に対する操作が、不十分な乱数値の生成につながるとされています。
悪用状況
- 本脆弱性を悪用するエクスプロイトコードが既に公開されていると報告されています。
- 現時点での具体的な攻撃事例については、この情報からは確認できません。
推奨対策
優先度：高
- Cesanta Mongooseのアップデート: ベンダーから修正版がリリースされ次第、速やかに最新バージョンへアップデートすることを強く推奨します。現時点ではベンダーからの応答がないと報告されているため、継続的な情報収集が必要です。
優先度：中
- DNSセキュリティの強化: DNSSECの導入など、DNSインフラ全体のセキュリティ強化を検討してください。
一時的な緩和策
現時点では、本脆弱性に対する直接的な一時緩和策は明確に報告されていません。一般的なセキュリティ対策として、DNSサーバーへのアクセス制限や、不審なDNSクエリの監視を強化することが考えられます。
確認方法
- 利用しているCesanta Mongooseのバージョンが7.20以前であるかを確認してください。
- ソースコードを直接確認できる場合は、
src/dns.cファイル内のmg_sendnsreq関数における乱数生成の実装を確認することが考えられます。
参考情報
CVE-2026-2966 – Cesanta Mongoose DNS Transaction ID dns.c mg_sendnsreq random values