ISC BIND CVE-2015-5477: DoS con query TKEY nel catalogo KEV

L’8 ottobre 2026 la CISA ha aggiunto al catalogo Known Exploited Vulnerabilities (KEV) la CVE-2015-5477, una vulnerabilità di ISC BIND, il server DNS molto diffuso su sistemi Linux e Unix e incluso in diversi prodotti di terze parti. Il difetto permette a un attaccante remoto, senza autenticazione, di arrestare il demone named inviando query di tipo TKEY. Il risultato è un denial of service: il server smette di rispondere alle richieste DNS.

La vulnerabilità non è nuova: è stata pubblicata a luglio 2015 e corretta allora dal produttore. Il catalogo KEV, però, raccoglie le vulnerabilità di cui la CISA ha prove di sfruttamento attivo. L’ingresso nel catalogo è quindi un segnale da prendere sul serio per chi ha ancora installazioni BIND non aggiornate.

Cosa è successo

La CISA ha inserito la CVE-2015-5477 nel KEV con la descrizione “ISC BIND Data Processing Errors Vulnerability” e ha fissato all’11 ottobre 2026 la scadenza per le agenzie federali statunitensi: tre giorni, un termine molto breve. Nel catalogo l’uso in campagne ransomware è indicato come “sconosciuto”.

L’avviso chiede di applicare le mitigazioni secondo le istruzioni del produttore, nel rispetto della direttiva BOD 26-04 sulla priorità degli aggiornamenti in base al rischio e dei requisiti di triage forense della CISA. Se le mitigazioni non sono disponibili, il prodotto va dismesso. L’avviso chiede anche di valutare l’esposizione su Internet di ogni sistema.

La CISA non spiega perché la vulnerabilità entri nel catalogo solo ora e non fornisce dettagli sugli attacchi osservati, sugli autori o sulle vittime.

Dettagli tecnici

• CVE: CVE-2015-5477, pubblicata il 29 luglio 2015. La scheda NVD è stata aggiornata il 9 ottobre 2026.
• Prodotto e versioni colpite: named in ISC BIND 9.x precedenti a 9.9.7-P2 e BIND 9.10.x precedenti a 9.10.2-P3.
• Versioni corrette: 9.9.7-P2 e 9.10.2-P3, oppure successive.
• Vettore: rete, con query DNS di tipo TKEY. Le query TKEY servono allo scambio di chiavi tra client e server DNS.
• Effetto: un controllo interno di tipo REQUIRE fallisce (assertion failure) e il demone named termina. Il servizio DNS resta fermo finché il processo non viene riavviato.
• Gravità: CVSS 3.1 7.5 (alta), AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H. L’attacco avviene in rete, è di bassa complessità, non richiede privilegi né interazione dell’utente e colpisce solo la disponibilità. CVSS 2: 7.8 (alta).
• Debolezze: CWE-617 (asserzione raggiungibile) e CWE-19 (errori di elaborazione dei dati).
• Codice pubblico: tra i riferimenti della scheda NVD compare una pagina di Packet Storm intitolata “BIND TKEY Query Denial Of Service”.
• Bollettini collegati: la scheda NVD elenca anche gli avvisi di Red Hat, Debian, Fedora, openSUSE, Oracle e Juniper. BIND è quindi presente anche in distribuzioni Linux e in prodotti di terze parti, che hanno pubblicato correzioni proprie.
• MITRE ATT&CK: T1499.004 (Endpoint Denial of Service: Application or System Exploitation).

Impatto per le aziende europee e italiane

Il DNS è un servizio da cui dipende quasi tutto: posta, applicazioni web, accesso remoto, servizi interni. Se il server DNS si ferma, si fermano anche i servizi che usano i nomi che risolve. Il danno è alla disponibilità: la CVE non riguarda la riservatezza né l’integrità dei dati.

I sistemi più esposti sono quelli che nessuno aggiorna da anni. Per esempio vecchi server DNS interni, macchine virtuali dimenticate o apparati che includono BIND senza che sia evidente.

Per i soggetti NIS2 la questione riguarda due aspetti. I fornitori di servizi DNS rientrano espressamente nel perimetro della direttiva, tra le infrastrutture digitali. Per tutti gli altri, un fermo del DNS che interrompe servizi essenziali può diventare un incidente da valutare per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Nella sanità, dove anche i sistemi clinici dipendono dalla risoluzione dei nomi interna, l’indisponibilità del DNS è un problema di continuità operativa.

Cosa fare subito

1. Fai l’inventario: individua tutti i sistemi su cui gira named, compresi i server DNS interni, quelli esposti su Internet e gli apparati che includono BIND.
2. Verifica le versioni: le installazioni di BIND 9.9 precedenti a 9.9.7-P2 e di BIND 9.10 precedenti a 9.10.2-P3 sono vulnerabili. Se usi i pacchetti di una distribuzione Linux, verifica lo stato con il bollettino della distribuzione, non solo con il numero di versione.
3. Aggiorna: installa la versione corretta indicata dal produttore o dal fornitore della distribuzione. Se trovi ancora rami di BIND di quell’epoca, valuta il passaggio a una versione ancora supportata dal produttore.
4. Per gli apparati di terze parti, segui il bollettino del fornitore. Se non esiste una correzione, la CISA indica di dismettere il prodotto.
5. Riduci l’esposizione: controlla quali server DNS rispondono a query da Internet e se è davvero necessario.
6. Rileva: sorveglia arresti e riavvii anomali di named e cerca nei log i messaggi di assertion failure seguiti dall’uscita del processo.

Come aiuta ARXDOME

ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto e mette in evidenza quelle già sfruttate dagli attaccanti, come le CVE del catalogo KEV: aiuta a trovare in fretta i server con versioni di BIND da aggiornare. ARX Expose controlla i servizi che la tua azienda espone su Internet e le vulnerabilità note dei prodotti riconosciuti. ARX Sentry raccoglie log ed eventi dai server Linux, così un arresto anomalo del servizio DNS non passa inosservato.

Ultimo aggiornamento: 8 ottobre 2026