BIND DNS сървъри са засегнати от 14 уязвимости в сигурността, позволяващи отравяне на кеша и отдалечен срив

Internet Systems Consortium публикува актуализации за сигурност за BIND 9, след като установи 14 уязвимости, които биха могли да позволят на атакуващи да отровят DNS кешове, да сринат отдалечено изложени сървъри, да изчерпат ресурси или да заобиколят защитите на DNSSEC.

Администраторите, които използват рекурсивни BIND резолвъри, трябва да инсталират най-новите коригирани версии възможно най-скоро. Най-сериозните проблеми засягат демона named, който се използва широко за предоставяне на авторитативни и рекурсивни DNS услуги в корпоративни, ISP и облачни среди.

Няколко от уязвимостите могат да бъдат задействани чрез зловредни DNS отговори или специално форматирани потребителски заявки, което прави резолвърите, достъпни от интернет, основен обект на безпокойство.

BIND DNS сървъри са засегнати от уязвимости в сигурността

Две уязвимости директно адресират рисковете от отравяне на DNS кеша. CVE-2025-40778 обхваща множество слабости при подправяне (spoofing), които биха могли да позволят на атакуващите да внедрят фалшифицирани записи в кеша на резолвъра, когато DNSSEC не е активиран или валидацията е изключена.

ISC промени BIND така, че той вече не приема DNAME записи или ненужни NS записи в секцията за авторитативност (authority section), освен ако отговорът не пристигне чрез механизъм, устойчив на подправяне, като TCP, DNS Cookies, TSIG или SIG(0).

CVE-2025-40780 засяга бившия генератор на псевдослучайни числа (PRNG) на BIND, позволявайки на атакуващите потенциално да предскажат UDP портове и DNS транзакционни идентификатори (ID) и да увеличат шанса за фалшифицирани DNS отговори.

ISC замени генератора с криптографски сигурен генератор на псевдослучайни числа, за да направи отравянето на кеша, базирано на предсказване, значително по-трудно.

Няколко корекции адресират проблеми с отдалечен отказ от услуга (DoS), включително CVE-2026-5947, която причинява сривове от SIG(0)-подписани отговори под натоварване, и CVE-2026-3593, уязвимост от тип use-after-free в DNS-over-HTTPS.

Заливане с HTTP/2 SETTINGS фреймове би могло да задейства DoH проблема, докато BIND записва DNS отговор, което потенциално може да причини срив на named.

Други уязвимости биха могли да прекратят работата на BIND по време на обработка на TKEY, невалидни DNSSEC записи, обработка на CNAME и DNAME, DNS64 операции, трансфери на зони или специално конструирани NSEC и NSEC3 отговори.

В няколко случая атакуващ, контролиращ авторитативен домейн или DNS сървър, би могъл да предостави невалидни записи, които да задействат грешка при проверката (assertion failure) и да накарат процеса на резолвъра да се прекрати.

Комплектът от препоръки включва и защити от изчерпване на ресурсите. ISC добави ограничения за прекомерна работа по валидиране на DNSSEC, големи списъци с имена на сървъри, манипулирани отрицателни отговори, обработка на псевдоними HTTPSSVCB и сценарии за нарастване на кеша. Подобни атаки биха могли в противен случай да консумират процесорно време или памет и да забавят легитимните DNS търсения.

Организациите трябва да идентифицират всички системи, работещи с BIND, особено публични рекурсивни резолвъри, DNS-over-HTTPS крайни точки, резолвъри с валидация на DNSSEC и сървъри, използващи DNS64, зони с политики за отговор (RPZ) или динамични актуализации.

Администраторите трябва да преминат към поддържана версия на BIND, съдържаща корекциите, да прегледат изложението на резолвъра, да ограничат рекурсията до доверени клиенти и да следят дневниците за неочаквани рестартирания на named, грешки за невалидни заявки или необичайно използване на процесора и паметта.

Корекциите подчертават, че DNS инфраструктурата остава високостойностна цел: успешна атака с отравяне на кеша може тихо да пренасочи потребителите към системи, контролирани от атакуващия, докато отдалечените сривове могат да прекъснат основни мрежови услуги.