重要 AWS2026.10.14

Amazon Linux 2023 の DNS リゾルバが古いルート署名鍵のまま、更新版を公開

重要ポイント

何が起きたか: Amazon Linux 2023 の DNS リゾルバ(bind・unbound・dnsmasq・systemd)が、古い DNSSEC ルート署名鍵(KSK-2017)しか持たないまま配られていました
影響: DNSSEC 検証を有効にしているホストで、名前解決が失敗(SERVFAIL)する恐れ。署名されていないドメインも含みます
原因: 2026年10月11日(UTC)にルートゾーンの署名鍵が KSK-2024(キータグ 38696)へ切り替わったため
対処: 2026年10月14日公開の ALAS で修正済み。--releasever 2023.12.20261013 を指定して更新
深刻度: AWS の重大度は Important(CVE 番号なし)

バージョンと対処(まずここを確認)

製品(パッケージ)	ALAS	修正版のパッケージ
bind	ALAS2023-2026-3221	bind-9.18.50-1.amzn2023.0.4
unbound	ALAS2023-2026-3222	unbound-1.17.1-1.amzn2023.0.16
dnsmasq	ALAS2023-2026-3223	dnsmasq-2.90-1.amzn2023.0.4
systemd	ALAS2023-2026-3224	systemd-252.23-15.amzn2023

対処: 使っているパッケージだけを更新します。例: sudo dnf update unbound --releasever 2023.12.20261013(bind・dnsmasq・systemd も同様)。まとめて更新するなら sudo dnf update --security --releasever 2023.12.20261013 です。更新後はリゾルバのサービスを再起動してください。

確認: rpm -q bind unbound dnsmasq systemd で版を確認し、cat /etc/amazon-linux-release でリリースを確認します。名前解決が通るかは dig +dnssec example.com で確かめられます(SERVFAIL なら未対応の可能性)。

概要

2026年10月14日、AWS は Amazon Linux 2023 の bind・unbound・dnsmasq・systemd について、DNSSEC のルート署名鍵を更新した修正版を公開しました(ALAS2023-2026-3221〜3224)。パッケージ内の信頼の起点(トラストアンカー)が古い鍵だけだったため、DNSSEC 検証を有効にしたホストでは名前解決に失敗することがあります。該当する構成なら、早めの更新をおすすめします。

影響と対処

影響を受けるもの

Amazon Linux 2023 で、上の表のパッケージを DNS リゾルバとして使い、DNSSEC 検証を有効にしているホストが対象です。ALAS によると、RFC 5011(鍵の自動更新)で新しいルート鍵をすでに取得できているリゾルバは影響を受けません。

どんな問題か

DNSSEC では、ルートゾーンの署名鍵(KSK)を信頼の起点として名前の正しさを検証します。ルートの KSK は 2026年10月11日(UTC)に KSK-2017(キータグ 20326)から KSK-2024(キータグ 38696)へ切り替わりました。パッケージ内の鍵が古いままだと、ルートの DNSKEY を検証できず、リゾルバは SERVFAIL を返します。Cloudflare も、新しい鍵を信頼していない検証リゾルバでは、正常なサイトにも到達できなくなる可能性があると説明しています。