ISC BIND CVE-2015-5477: DoS con consultas TKEY en el catálogo KEV

El 8 de octubre de 2026 la CISA añadió a su catálogo Known Exploited Vulnerabilities (KEV) la CVE-2015-5477, una vulnerabilidad de ISC BIND, el servidor DNS muy extendido en sistemas Linux y Unix e incluido en diversos productos de terceros. El fallo permite a un atacante remoto, sin autenticación, detener el demonio named enviando consultas de tipo TKEY. El resultado es una denegación de servicio: el servidor deja de responder a las peticiones DNS.

La vulnerabilidad no es nueva: se publicó en julio de 2015 y el fabricante la corrigió entonces. Sin embargo, el catálogo KEV recoge las vulnerabilidades de las que la CISA tiene pruebas de explotación activa. Su entrada en el catálogo es, por tanto, una señal que debes tomarte en serio si todavía tienes instalaciones de BIND sin actualizar.

Qué ha pasado

La CISA incluyó la CVE-2015-5477 en el KEV con la descripción “ISC BIND Data Processing Errors Vulnerability” y fijó el 11 de octubre de 2026 como plazo para las agencias federales estadounidenses: tres días, un margen muy corto. En el catálogo, su uso en campañas de ransomware figura como “desconocido”.

El aviso pide aplicar las mitigaciones según las instrucciones del fabricante, conforme a la directiva BOD 26-04 sobre la prioridad de las actualizaciones según el riesgo y a los requisitos de triaje forense de la CISA. Si no hay mitigaciones disponibles, el producto debe retirarse. El aviso pide también evaluar la exposición a Internet de cada sistema.

La CISA no explica por qué la vulnerabilidad entra en el catálogo solo ahora ni da detalles sobre los ataques observados, sus autores o las víctimas.

Detalles técnicos

• CVE: CVE-2015-5477, publicada el 29 de julio de 2015. La ficha de NVD se actualizó el 9 de octubre de 2026.
• Producto y versiones afectadas: named en ISC BIND 9.x anteriores a 9.9.7-P2 y BIND 9.10.x anteriores a 9.10.2-P3.
• Versiones corregidas: 9.9.7-P2 y 9.10.2-P3, o posteriores.
• Vector: red, mediante consultas DNS de tipo TKEY. Las consultas TKEY sirven para el intercambio de claves entre clientes y servidores DNS.
• Efecto: falla una comprobación interna de tipo REQUIRE (assertion failure) y el demonio named termina. El servicio DNS queda parado hasta que se reinicia el proceso.
• Gravedad: CVSS 3.1 7.5 (alta), AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H. El ataque se realiza por red, es de baja complejidad, no requiere privilegios ni interacción del usuario y solo afecta a la disponibilidad. CVSS 2: 7.8 (alta).
• Debilidades: CWE-617 (aserción alcanzable) y CWE-19 (errores de procesamiento de datos).
• Código público: entre las referencias de la ficha de NVD figura una página de Packet Storm titulada “BIND TKEY Query Denial Of Service”.
• Boletines relacionados: la ficha de NVD enumera también avisos de Red Hat, Debian, Fedora, openSUSE, Oracle y Juniper. BIND está presente, por tanto, también en distribuciones Linux y en productos de terceros, que publicaron sus propias correcciones.
• MITRE ATT&CK: T1499.004 (Endpoint Denial of Service: Application or System Exploitation).

Impacto para las empresas europeas e italianas

El DNS es un servicio del que depende casi todo: correo, aplicaciones web, acceso remoto, servicios internos. Si el servidor DNS se detiene, también se detienen los servicios que usan los nombres que resuelve. El daño es a la disponibilidad: la CVE no afecta a la confidencialidad ni a la integridad de los datos.

Los sistemas más expuestos son los que nadie actualiza desde hace años. Por ejemplo, servidores DNS internos antiguos, máquinas virtuales olvidadas o equipos que incluyen BIND sin que sea evidente.

Para las entidades sujetas a NIS2 la cuestión tiene dos aspectos. Los proveedores de servicios DNS entran expresamente en el ámbito de la directiva, entre las infraestructuras digitales. Para todos los demás, una caída del DNS que interrumpa servicios esenciales puede convertirse en un incidente que hay que valorar para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. En la sanidad, donde también los sistemas clínicos dependen de la resolución de nombres interna, la indisponibilidad del DNS es un problema de continuidad operativa.

Qué hacer ya

1. Haz inventario: localiza todos los sistemas en los que se ejecuta named, incluidos los servidores DNS internos, los expuestos a Internet y los equipos que incluyen BIND.
2. Comprueba las versiones: las instalaciones de BIND 9.9 anteriores a 9.9.7-P2 y de BIND 9.10 anteriores a 9.10.2-P3 son vulnerables. Si usas los paquetes de una distribución Linux, comprueba el estado con el boletín de la distribución, no solo con el número de versión.
3. Actualiza: instala la versión corregida indicada por el fabricante o por el responsable de la distribución. Si todavía encuentras ramas de BIND de aquella época, valora pasar a una versión que el fabricante siga soportando.
4. Para los equipos de terceros, sigue el boletín del proveedor. Si no existe una corrección, la CISA indica retirar el producto.
5. Reduce la exposición: comprueba qué servidores DNS responden a consultas desde Internet y si realmente es necesario.
6. Detecta: vigila las paradas y los reinicios anómalos de named y busca en los registros mensajes de assertion failure seguidos de la salida del proceso.

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete y destaca las que ya explotan los atacantes, como las CVE del catálogo KEV: te ayuda a encontrar rápidamente los servidores con versiones de BIND que hay que actualizar. ARX Expose controla los servicios que tu empresa expone en Internet y las vulnerabilidades conocidas de los productos que reconoce. ARX Sentry recoge registros y eventos de los servidores Linux, para que una parada anómala del servicio DNS no pase desapercibida.

Última actualización: 8 de octubre de 2026