ISC ostrzega przed podatnością CVE-2026-94300 w serwerze DNS BIND9, są wersje z poprawką
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Aktualności
- Redakcja
- Paweł Rosół
- Źródło
- Sekurak ()
Internet Systems Consortium opisało podatność w BIND9, która może prowadzić do utraty dostępu do usługi, a w niektórych przypadkach do zdalnego wykonania kodu. Poprawki są w wersjach 9.20.30, 9.21.27 i 9.20.30-S1, obejścia brak.
Internet Systems Consortium (ISC) ostrzegło przed podatnościąPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-94300 w BIND9, otwartoźródłowym oprogramowaniu pełniącym rolę serwera DNS. Według Sekuraka błąd pozwala uszkodzić pamięć w procesie named, co może prowadzić do utraty dostępu do usługi, a w niektórych przypadkach do zdalnego wykonania kodu. Podatność ma wynik 8.1 w CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. v3.1.
Sekurak opisuje przyczynę tak: obsługa współdzielonego stanu sesji Kerberos w GSS-TSIG nie była odpowiednio zsynchronizowana. Atakujący mógł przechwycić poprawnie podpisany komunikat UDP i wysłać go serwerowi ponownie. Serwer nie odrzucał takiego pakietu jako powtórzonego, tylko próbował go przetworzyć, co dawało wyścig i dwukrotne zwolnienie tego samego obszaru pamięci. Atak jest według tego źródła skomplikowany i wymaga ściśle określonych warunków, ale nie wymaga uprawnień ani interakcji ze strony użytkownika.
Podatne są wersje BIND 9 od 9.11.0 do 9.18.50, od 9.20.0 do 9.20.29 i od 9.21.0 do 9.21.26 oraz wersje Supported Preview od 9.11.3-S1 do 9.18.50-S1 i od 9.20.9-S1 do 9.20.29-S1. Poprawki zawierają wydania 9.20.30, 9.21.27 i 9.20.30-S1. Sekurak pisze, że nie ma obejścia, a jedynym rozwiązaniem jest aktualizacja, oraz że ISC nie ma wiedzy o aktywnym wykorzystaniu tej podatności. Jeśli twój podmiot używa BIND9, sprawdź wersję i zaplanuj aktualizację.
Kanadyjskie Centrum Cyberbezpieczeństwa opublikowało 21 października 2026 r. komunikat AV26-1072 dotyczący tego samego produktu. Wymienia w nim jeszcze trzy podatności: CVE-2026-19630, CVE-2026-96888 i CVE-2026-97313. Te same cztery identyfikatory są w biuletynie Debiana DSA-6576-1, według którego pakiet bind9 w wydaniu trixie jest w wersji 1:9.20.30-1deb13u1 oznaczony jako naprawiony, a w wersji 1:9.20.26-1deb13u1 jako podatny.
Źródła
- Sekurak: Poważna luka w BIND9 (CVE-2026-94300): atakujący może doprowadzić do utraty dostępu do usługi lub RCE.
- Canadian Centre for Cyber Security: ISC BIND security advisory (AV26-1072) - Canadian Centre for Cyber Security
- Debian Security Tracker: DSA-6576-1
Pojęcia w tym tekście (2)
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- CVSS
- Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.