Internet Systems Consortium (ISC) публикува BIND 9.20.29 и 9.21.26, за да отстрани четиринадесет уязвимости в сигурността, които разкри на 16 септември в BIND 9 — своя софтуер с отворен код за DNS сървъри. Една от тях засяга всеки BIND сървър, който отговаря на DNS-over-HTTPS (DoH).
Изпращач без идентификационни данни може да предизвика срив на сървърния процес named с една единствена заявка, съдържаща невалиден SIG(0) подпис, ако изпращачът затвори връзката преди named да приключи проверката на подписа.
От ISC заявиха в своите бюлетини, че нямат информация някоя от четиринадесетте уязвимости да е била експлоатирана.
Коя версия какво отстранява
Коригираните версии, описани в бележките към изданието на ISC, са:
- BIND 9.20.29, в текущия стабилен клон: отстранява всички четиринадесет уязвимости
- BIND 9.21.26, в разработвания клон: отстранява тринадесет, тъй като CVE-2026-19662 не засяга 9.21
- BIND 9.20.29-S1, изданието Supported Preview Edition за клиенти с поддръжка: отстранява всички четиринадесет
ISC не посочва заобиколни решения за нито една от четиринадесетте уязвимости.
Дванадесет от четиринадесетте засягат и по-стария клон 9.18, включително версия 9.18.50, която е неговото последно издание. ISC прекрати поддръжката за 9.18 в края на юни и не посочва версия на 9.18, която да ги отстранява.
През май ISC заяви, че потребителите на 9.18 трябва да планират обновяване до 9.20 възможно най-скоро. В нейната матрица за уязвимости се добавя, че „за версиите с изтекъл срок на поддръжка (EOL) трябва да се предполага, че са уязвими за нови CVE.“
Пакетът на операционната система е отделен въпрос. Debian 12 се доставя с пакет, базиран на 9.18.49, и в неговия проследяващ модул за сигурност не бе вписана нито една от четиринадесетте уязвимости към 06:20 UTC на 17 септември.
Какво е необходимо на един атакуващ
Две от четиринадесетте уязвимости могат да бъдат задействани само чрез заявка, без да е необходимо атакуващият да разполага със собствен DNS сървър, и двете засягат само клоновете 9.20 и 9.21. Сривът при DoH е CVE-2026-77692. Втората уязвимост, CVE-2026-76163, позволява на заявка от тип TKEY да предизвика срив на named, когато във файла named.conf на сървъра липсва глобален блок с опции.
Останалите сривове изискват рекурсивен резолвер (тип сървър, който търси имена от името на клиенти), който да получи специално манипулирани данни от сървър, контролиран от автор на заплахата.
Един-единствен манипулиран отговор може да предизвика срив на резолвер с конфигурация по подразбиране (CVE-2026-19667), резолвер, използващ dns64 с break-dnssec yes (CVE-2026-19666), или валидиращ резолвер, който получава отговор с заместващ символ (wildcard), съдържащ както NSEC, така и NSEC3 доказателства (CVE-2026-80274). Четвърта уязвимост, CVE-2026-19662, изисква определен ред и синхронизация на отговорите и не засяга 9.21.
Още четири уязвимости изчерпват процесорните ресурси или паметта на резолвера, вместо да предизвикат срив, две от които чрез кеширани SVCB/HTTPS записи за псевдоними (CVE-2026-81563 и CVE-2026-81736). ISC определя седем от четиринадесетте като висок риск (High), всички с оценка 7.5 по CVSS 3.1: горните сривове с изключение на CVE-2026-19662, плюс двете SVCB/HTTPS уязвимости. Останалите седем са със среден риск (Medium), от 5.3 до 6.5.
Останалите четири уязвимости засягат целостта на DNS данните — това, което сървърът предоставя или какво приема даден резолвер, а не сривове или изчерпване на ресурси. ISC определя и четирите като среден риск (Medium), като всяка от тях се предава с условия относно това къде се намира киберпрестъпникът или какво вече контролира.
Две от тях позволяват на валидиращ резолвер да приеме грешно DNSSEC доказателство. При CVE-2026-19941 подписан NSEC запись от несвързана зона може да премине като доказателство, че не съществува заместител (wildcard). Атакуващ по пътя на пренос на данните (on-path) или злонамерен пренасочващ сървър (forwarder), който контролира подписана зона, би могъл да го използва, за да бъде приет фалшифициран NXDOMAIN отговор за име, което би трябвало да се разрешава чрез заместител, и отговорът би преминал успешно DNSSEC валидацията.
При CVE-2026-77119 подписан NSEC3 запись от несвързана съседна зона може да премине като доказателство, че дадено делегиране е неподписано. Атакуващ, способен да инжектира отговори към заявките на резолвера, би могъл след това да постигне приемане на фалшифициран неподписан отговор за имена под това делегиране. ISC описва и двата резултата като отравяне на кеша (cache poisoning).
CVE-2026-19033 засяга вторичен сървър, който копира зона от първичен и приема само трансфери, подписани с TSIG ключ. По време на инкрементален трансфер с множество съобщения (IXFR) по TCP, named може да започне да обслужва новите данни от зоната преди да е пристигнало последното съобщение, носещо подписа, и не извършва връщане назад (roll back), ако този подпис така и не пристигне. Страна, способна да достави такъв трансфер, би могла да осигури предоставянето на неоторизирано съдържание на зоната, без да притежава ключа.
Корекцията изисква TSIG във всяко съобщение от входящия трансфер, като от ISC заявяват, че съвременните имена-сървъри вече подписват всяко съобщение, така че не се очаква промяна на практика.
CVE-2026-78301 изисква по-голям достъп: атакуващ, който може да зареди деформирана зона върху авторитетен сървър, например чрез зонов трансфер. Зона, съдържаща NS или DNAME възел над нейния собствен произход (origin), след това се третира като прекъсване на зоната (zone cut), така че заявките за имена вътре в зоната връщат делегиране извън зоната вместо данните на самата зона.
Ако сървърът извършва и рекурсия, той може да последва делегирането и да кешира предоставени от киберпрестъпника записи за имена извън зоната, като ефектът продължава дотогава, докато деформираната зона остава заредена.
Четиринадесетте уязвимости
| CVE | Оценка на ISC | Ефект | Условие | Засегнати (с отворен код) | Коригирано в |
|---|---|---|---|---|---|
| CVE-2026-77692 | 7.5 Висока | Срив на named | Сървърът отговаря на DoH. Невалидна SIG(0) заявка, връзката е прекъсната преждевременно | от 9.20.0 до 9.20.27, от 9.21.0 до 9.21.25 | 9.20.29, 9.21.26 |
| CVE-2026-76163 | 7.5 Висока | Срив на named | TKEY заявка. named.conf няма глобален блок с опции | от 9.20.0 до 9.20.27, от 9.21.0 до 9.21.25 | 9.20.29, 9.21.26 |
| CVE-2026-19667 | 7.5 Висока | Срив на резолвъра | Манипулиран отрицателен отговор с размер точно 65536 байта от сървър, управляван от атакуващ. Конфигурация по подразбиране | от 9.11.0 до 9.18.50, от 9.20.0 до 9.20.27, от 9.21.0 до 9.21.25 | 9.20.29, 9.21.26 |
| CVE-2026-19666 | 7.5 Висока | Срив на резолвъра | dns64 с break-dnssec yes. Деформиран отговор, сервиран от кеша | от 9.11.0 до 9.18.50, от 9.20.0 до 9.20.27, от 9.21.0 до 9.21.25 | 9.20.29, 9.21.26 |
| CVE-2026-80274 | 7.5 Висока | Срив на резолвъра, SERVFAIL или сервиран грешен запис за отказ | Валидиращ резолвър. Wildcard отговор с NSEC3 и неподписан NSEC при едно и също име | от 9.11.0 до 9.18.50, от 9.20.0 до 9.20.27, от 9.21.0 до 9.21.25 | 9.20.29, 9.21.26 |
| CVE-2026-19662 | 5.9 Средна | Срив на резолвъра | Подписана зона, управлявана от атакуващ. Специфична последователност и времетраене на отговорите | от 9.11.0 до 9.18.50, от 9.20.0 до 9.20.27 | 9.20.29 |
| CVE-2026-81563 | 7.5 Висока | Кешът нараства над лимита си, докато резолюцията се провали | Резолвърът проследява многократно псевдоним SVCB/HTTPS с повече от 13 целеви записа | от 9.18.0 до 9.18.50, от 9.20.0 до 9.20.27, от 9.21.0 до 9.21.25 | 9.20.29, 9.21.26 |
| CVE-2026-81736 | 7.5 Висока | Изчерпване на процесорния ресурс на резолвъра | Кеширано дърво от псевдоними SVCB/HTTPS. На клиента е разрешена рекурсия плюс зона, управлявана от атакуващ | от 9.18.0 до 9.18.50, от 9.20.0 до 9.20.27, от 9.21.0 до 9.21.25 | 9.20.29, 9.21.26 |
| CVE-2026-19668 | 5.3 Средна | Изчерпване на процесорния ресурс на валидиращия резолвър | Зона с множество тагове на ключове и без валидно съвпадение. ISC заявява, че лимитите по подразбиране за записи намаляват рисковете | от 9.11.0 до 9.18.50, от 9.20.0 до 9.20.27, от 9.21.0 до 9.21.25 | 9.20.29, 9.21.26 |
| CVE-2026-75029 | 5.3 Средна | Използване на памет извън конфигурираните лимити | Отговорът повтаря един и същ SOA, CNAME или DNAME запис многократно | от 9.11.0 до 9.18.50, от 9.20.0 до 9.20.27, от 9.21.0 до 9.21.25 | 9.20.29, 9.21.26 |
| CVE-2026-19941 | 5.9 Средна | Приет е фалшифициран NXDOMAIN, което ISC определя като отравяне на кеша | Валидиращ резолвър. Атакуващ, контролиращ подписана зона на същото или на по-горно ниво, по пътя на трафика или като forwarder | от 9.11.0 до 9.18.50, от 9.20.0 до 9.20.27, от 9.21.0 до 9.21.25 | 9.20.29, 9.21.26 |
| CVE-2026-77119 | 5.9 Средна | Защитената делегация е понижена, приет е фалшифициран неподписан отговор | Валидиращ резолвър. Атакуващ с възможност за инжектиране на отговори | от 9.11.0 до 9.18.50, от 9.20.0 до 9.20.27, от 9.21.0 до 9.21.25 | 9.20.29, 9.21.26 |
| CVE-2026-19033 | 6.5 Средна | Неоторизирани данни за зона се сервират от вторичен сървър | Трансфери, ограничени с TSIG. Множество съобщения за TCP IXFR, доставени от атакуващия | от 9.11.0 до 9.18.50, от 9.20.0 до 9.20.27, от 9.21.0 до 9.21.25 | 9.20.29, 9.21.26 |
| CVE-2026-78301 | 5.8 Средна | Данни извън зоната се сервират като авторитетни, както и отравяне на кеша, ако сървърът изпълнява и рекурсия | Атакуващият зарежда деформирана зона, например чрез трансфер на зона | от 9.11.0 до 9.18.50, от 9.20.0 до 9.20.27, от 9.21.0 до 9.21.25 | 9.20.29, 9.21.26 |
Версията Supported Preview Edition е засегната в съответните -S1 диапазони и е коригирана в 9.20.29-S1. Оценките са собствените CVSS 3.1 оценки на ISC.
Статус на експлоатация и публични тестове
Във всяка от четиринадесетте препоръки за сигурност на ISC, публикувани на 16 септември, се посочва, че „няма данни за активни експлоатации“. Нито една от четиринадесетте уязвимости не фигурира в каталога с известни експлоатирани уязвимости (KEV) на CISA към версията на каталога, публикувана на същия ден.
Тестовете, които възпроизвеждат уязвимостите, обаче са публични. От ISC заявиха през май, че вече публикуват тестове за възпроизвеждане при публикуване на уязвимост, като в изходния код на 9.20.29 са добавени системни тестове за най-малко шест от четиринадесетте уязвимости, включително такъв, който изпраща невалидна SIG(0) заявка през DoH, прекъсва връзката и проверява дали named продължава да работи.
Това са тестове, които потвърждават прилагането на корекцията за сигурност, а не инструменти за атака, но те подробно описват условията за задействане.
Четиринадесет е най-големият брой уязвимости сред петте издания за сигурност на BIND от ISC за тази година, след една уязвимост през януари, четири през март, шест през май и девет през юли.
От ISC предупредиха през май, че „потребителите трябва да очакват корекции за сигурност във всяко месечно издание за поддръжка на BIND“ до края на 2026 г. Промяна, която според тях е породена от вълната от доклади за уязвимости, генерирани от големи езикови модели както от изследователи, така и от атакуващи.
Корекциите за сигурност пристигат във версия 9.20.29 вместо в 9.20.28, тъй като ISC оттегли 9.20.28 преди пускането ѝ, след като тестовете преди официалното издаване откриха регресия.
Четири от четиринадесетте уязвимости са открити при вътрешните тестове на ISC. Останалите са докладвани от Витали Симонович (CVE-2026-77692), Ринтаро Кавасуги (CVE-2026-19666 и CVE-2026-19667), Сами Меджахед (Ap4sh) (CVE-2026-19662 и CVE-2026-81563), Енрике Перейра (CVE-2026-78301 и CVE-2026-81736), Оваис Лоне (thesecguy) (CVE-2026-76163), изследовател с псевдоним hythyt (CVE-2026-80274), както и Зуяо Сю и Сян Ли от Нанкайския университет (CVE-2026-19668).