Populārajā BIND 9 DNS servera programmatūrā atklāta kritiska ievainojamība, kā arī vairākas augstas bīstamības nepilnības, par kurām izstrādātājs “Internet Systems Consortium” (ISC) informēja jaunākajos drošības paziņojumos. Kopumā publiskoti četri CVE ieraksti, un administratori tiek aicināti pēc iespējas ātrāk plānot atjaunināšanu, jo viena no nepilnībām noteiktos apstākļos var ļaut uzbrucējam attālināti izpildīt patvaļīgu kodu.
Visnopietnākā ievainojamība (CVE-2026-94300) ir saistīta ar GSS-TSIG parakstītu UDP ziņojumu atkārtotu nosūtīšanu, kas var izraisīt atmiņas bojājumu. Uzbrucējs, kurš spēj pārtvert iepriekš parakstītu ziņojumu, var to atkārtoti nosūtīt, kamēr sarunātā TSIG atslēgas derīguma periods vēl nav beidzies, un ar papildus veidotiem pieprasījumiem potenciāli panākt attālinātu koda izpildi. Šīs ievainojamības bīstamība novērtēta ar 8,1 punktu CVSS skalā, savukārt pārējām trim piešķirts 7,5 punktu vērtējums.
Pārējās nepilnības galvenokārt var izraisīt pakalpojuma atteici vai pārmērīgu resursu patēriņu. Viena no tām (CVE-2026-19630) attiecas uz īpaši veidotiem ienākošajiem DNS ziņojumiem, kuru apstrādei BIND nepiemēro ierobežojumu, tāpēc liels šādu struktūru skaits var patērēt nesamērīgi daudz procesora laika un atmiņas. Citas nepilnības var izraisīt servera negaidītu apstāšanos noteiktās konfigurācijās — piemēram, izmantojot pārvirzes zonu kopā ar stingru QNAME minimizāciju, vai ar RPZ zonām un noteiktu vaicājumu secību.
Ievainojamības ietekmē vairākas BIND 9 versiju līnijas, tostarp 9.18, 9.20 un 9.21 atzarus. ISC aicina pēc iespējas ātrāk atjaunināt programmatūru uz attiecīgā atzara laboto versiju, un kā labotās versijas norāda 9.20.30 un 9.21.27. Pirms atjaunināšanas ieteicams pārbaudīt, kura BIND 9 versija tiek lietota, un izvērtēt, vai DNS serveris ir sasniedzams no ārējiem tīkliem.
Administratoriem ieteicams ne tikai atjaunināt BIND 9, bet arī pārskatīt DNS servera piekļuves ierobežojumus un uzraudzības procesus, lai ātrāk pamanītu neparastu aktivitāti. Plašāka informācija par visiem attiecīgā atzara drošības paziņojumiem pieejama ISC zināšanu bāzē.
CVE papildinformācija
CVE-2026-19630 — pastiprināta resursu izsmelšana ienākošo ziņojumu apstrādē: īpaši veidoti ienākošie DNS ziņojumi var likt BIND patērēt nesamērīgi daudz procesora laika un atmiņas. Skartais produkts: ISC BIND 9. Vairāk: https://www.cve.org/CVERecord?id=CVE-2026-19630
CVE-2026-94300 — vienlaicīgi GSS-TSIG ziņojumi bojā atmiņu: atkārtoti nosūtīti GSS-TSIG parakstīti UDP ziņojumi var izraisīt atmiņas bojājumu un potenciāli ļaut attālināti izpildīt kodu. Skartais produkts: ISC BIND 9. Vairāk: https://www.cve.org/CVERecord?id=CVE-2026-94300
CVE-2026-96888 — serveris var negaidīti apstāties, ja pārvirzes zona tiek lietota kopā ar stingru QNAME minimizāciju. Skartais produkts: ISC BIND 9. Vairāk: https://www.cve.org/CVERecord?id=CVE-2026-96888
CVE-2026-97313 — noteiktas RPZ konfigurācijas un vaicājumu secības var izraisīt negaidītu servera izslēgšanos, radot pakalpojuma atteici. Skartais produkts: ISC BIND 9. Vairāk: https://www.cve.org/CVERecord?id=CVE-2026-97313
Avots: cert.lv raksts · X ieraksts
