dnsmasq の変更ログより：

リクエストが許可されたアドレスでも、禁止されているインターフェイスから到達した際、UDP のリクエストと同じように、TCP DNS リクエストに対する動作を決めるためにコードを追加します。この変更は、Linux でのみ有効です。関連した API がその他のプラットフォームで欠如しているためです（AFAIK）。

- --except-interface lo が使用される場合（libvirt のユースケース）、 dnsmasq は現在、ローカルクエリーに応答します。

- 現在、dnsmasq は明確に $RPM_OPT_FLAGS、$RPM_LD_FLAGS でビルドされています。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Rocky Linux 9.6 ホストに、CIQ ciqsa-2026_1352 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    このアドバイザリは、CIQ LTS 9.6の dnsmasq SRPM のセキュリティ修正をまとめたものです。18 件の CVE に対処します:
    CVE-2020-25681、 CVE-2022-0934、 CVE-2026-4892、 CVE-2009-2957、 CVE-2026-4891、その他 13 個。

Tenable は、前述の記述ブロックを CIQ セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Rocky Linux 9.2 ホストに、CIQ ciqsa-2026_0407 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    このアドバイザリは、CIQ LTS 9.2の dnsmasq SRPM のセキュリティ修正をまとめたものです。18 件の CVE に対処します:
    CVE-2020-25681、 CVE-2022-0934、 CVE-2023-50387、 CVE-2009-2957、 CVE-2017-14492、その他 13 個。

Tenable は、前述の記述ブロックを CIQ セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Rocky Linux 8.6 ホストに、CIQ ciqsa-2026_0034 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    このアドバイザリは、CIQ LTS 8.6の dnsmasq SRPM のセキュリティ修正をまとめたものです。20 件の CVE に対処します:
    CVE-2020-25681、 CVE-2022-0934、 CVE-2023-50387、 CVE-2009-2957、 CVE-2020-25684、その他 15 個。

Tenable は、前述の記述ブロックを CIQ セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

更新済みの dnsmasq パッケージは、次のセキュリティの脆弱性を修正します：

2.63 より前の dnsmasq が、libvirtd の特定の構成と併用される場合、禁止されているネットワークからのネットワークパケット（渡されるべきではないパケットなど）が、dnsmasq アプリケーションに送信され、処理される可能性があります。これにより、DNS アンプ攻撃などが引き起こされる可能性があります（CVE-2012-3411）。

この更新は、この問題の影響を受けない新しいオプション --bind-dynamic を追加します。

更新済みの dnsmasq パッケージは、次のセキュリティの脆弱性を修正します（CVE-2013-0198）：

この更新は、dnsmasq-2.63 で提供されていた CVE-2012-3411 に対する修正を完全なものにしています。CVE-2012-3411 の問題に対する Upstream パッチを適用した後に、dnsmasq にはまだ次の問題があることが判明しました：

- --bind-dynamic オプションが使用される場合、禁止されているネットワークからのリモート TCP プロトコルベースの DNS クエリに応答していました（UDP プロトコルのものは修正されましたが、TCP のものは修正されませんでした）。

- --except-interface lo オプションが使用される場合、dnsmasq は、ローカルまたはリモートの UDP DNS クエリに応答していませんでしたが、TCP プロトコルベースの DNS クエリを引き続き許可していました。

- --except-interface lo オプションが使用されない場合、dnsmasq は、ローカル/リモートの TCP DNS クエリにも引き続き応答していました。

この更新は、これらの 3 つの事例を修正します。

リモートホストが、GLSA-201406-24 で説明されている脆弱性の影響を受けます（Dnsmasq：サービス拒否）

特定の libvirt 構成で使用される際、Dnsmasq は、禁止されたインターフェイスからのクエリに反応します。
 影響：

リモートの攻撃者が、偽装された TCP ベースの DNS クエリからサービス拒否を引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

リモートの dnsmasq サーバーが 2.66test2 以前のバージョンを起動しています。したがって、不正な形式のネットワークパケットの解析が不適切なために、libvirtd のサービス拒否脆弱性による影響を受けます。認証されていないリモートの攻撃者がこれを悪用して DNS クエリの過度な増幅を引き起こし、サービス拒否状態に陥る可能性があります。

注：この脆弱性は CVE-2012-3411 の修正が不完全なため存在しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
64592	Fedora 18：dnsmasq-2.65-4.fc18（2013-1357）	Nessus	Fedora Local Security Checks	2013/2/13	2021/1/11	medium
64672	Fedora 17：dnsmasq-2.65-4.fc17（2013-1320）	Nessus	Fedora Local Security Checks	2013/2/19	2021/1/11	medium
353785	Rocky Linux 9.6 [CIQ] セキュリティ更新:dnsmasq/dnsmasq-debuginfo/dnsmasq-debugsource/dnsmasq-utils/etc 複数の脆弱性(ciqsa-2026_1352)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/13	critical
355722	Rocky Linux 9.2 [CIQ] セキュリティ更新:dnsmasq/dnsmasq-debuginfo/dnsmasq-debugsource/dnsmasq-utils/etc 複数の脆弱性(ciqsa-2026_0407)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/13	critical
357504	Rocky Linux 8.6 [CIQ] セキュリティ更新:dnsmasq/dnsmasq-debuginfo/dnsmasq-debugsource/dnsmasq-utils/etc 複数の脆弱性(ciqsa-2026_0034)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/12	critical
66086	Mandriva Linux セキュリティアドバイザリ：dnsmasq（MDVSA-2013:072）	Nessus	Mandriva Local Security Checks	2013/4/20	2021/1/6	medium
76226	GLSA-201406-24：Dnsmasq：サービス拒否	Nessus	Gentoo Local Security Checks	2014/6/26	2021/1/6	medium
87595	dnsmasq < 2.66test2 libvirtd TCP ネットワークパケット解析応答 DNS 増幅 DoS	Nessus	DNS	2015/12/22	2018/7/10	medium

検出

プラグインの検索

medium

medium

critical

critical

critical

medium

medium

medium