BIND 9: patru CVE, una poate duce la execuție de cod

Pe 21 octombrie 2026, Canadian Centre for Cyber Security a publicat avizul AV26-1072 despre patru vulnerabilități din BIND 9, serverul DNS dezvoltat de Internet Systems Consortium (ISC), foarte răspândit pe Linux și Unix, atât ca resolver intern, cât și ca server autoritativ. A doua zi, CERT.LV, CERT-ul național al Letoniei, a preluat știrea și a adăugat scorurile de gravitate și versiunile corectate, iar heise Security a scris despre ea cu un titlu care vorbește despre o breșă ce permite introducerea de cod în serverul de nume.

Cea mai gravă este CVE-2026-94300: potrivit CERT.LV, în anumite condiții poate permite unui atacator să execute cod arbitrar de la distanță. Celelalte trei pot opri serviciul DNS sau îi pot epuiza resursele. Niciuna dintre surse nu raportează, deocamdată, exploatare activă.

Cele patru vulnerabilități

Titlurile CVE sunt cele din avizul canadian; scorurile CVSS provin de la CERT.LV.

• CVE-2026-94300 – mesaje GSS-TSIG concurente corup memoria. CVSS 8,1. Este cea care, potrivit CERT.LV, poate duce la execuție de cod de la distanță.
• CVE-2026-19630 – epuizare amplificată a resurselor la procesarea mesajelor primite. CVSS 7,5.
• CVE-2026-96888 – named se poate opri neașteptat atunci când o zonă de tip redirect este folosită împreună cu QNAME minimization în modul strict. CVSS 7,5.
• CVE-2026-97313 – anumite configurații RPZ (Response Policy Zone), combinate cu anumite tipare de interogări, pot opri neașteptat procesul. CVSS 7,5.

CERT.LV numește una dintre vulnerabilități „critică”, iar pe celelalte de gravitate ridicată; totuși, scorul cel mai mare pe care îl indică este 8,1, care pe scara CVSS corespunde gravității ridicate. Pentru celelalte trei CVE, efectele descrise sunt funcționarea defectuoasă a serverului DNS, consumul excesiv de procesor și memorie sau blocarea serviciului (denial of service).

Puțin context ca să înțelegi cine este expus. GSS-TSIG este varianta TSIG bazată pe GSS-API și Kerberos: în BIND se folosește mai ales pentru actualizările dinamice autentificate, tipice mediilor integrate cu Active Directory, și se activează cu opțiuni precum tkey-gssapi-keytab sau tkey-gssapi-credential. Zonele redirect servesc la răspunsuri personalizate pentru interogările despre nume inexistente; RPZ este mecanismul prin care un resolver aplică liste de blocare, de exemplu într-un firewall DNS. Sursele disponibile nu spun dacă CVE-urile legate de aceste funcții afectează și serverele care nu le folosesc: verifică în avizul ISC pentru fiecare CVE.

Versiuni afectate și corecții

Potrivit avizului canadian, sunt afectate:

• BIND 9: de la 9.11.0 la 9.18.50 și de la 9.21.0 la 9.21.26;
• BIND Supported Preview Edition: de la 9.11.3-S1 la 9.18.50-S1 și de la 9.20.9-S1 la 9.20.29-S1.

CERT.LV menționează printre ramurile afectate și ramura 9.20 și indică drept versiuni corectate, pe care ISC cere să fie instalate cât mai repede, 9.20.30 și 9.21.27. Sursele disponibile nu indică o versiune corectată pentru ramura 9.18 și nici pentru Supported Preview Edition și nu spun ce versiuni sunt afectate de fiecare CVE: avizul canadian trimite la matricea vulnerabilităților BIND 9 publicată de ISC, care rămâne referința.

Impactul pentru companiile europene și italiene

BIND rulează în resolverele interne ale multor companii, în serverele autoritative ale furnizorilor și firmelor de hosting, în distribuțiile Linux și în echipamentele care îl includ. Dacă DNS-ul se oprește, se opresc de fapt e-mailul, aplicațiile web, VPN-urile și serviciile interne, chiar dacă serverele de aplicații funcționează. O corupere de memorie exploatabilă de la distanță este un risc de alt nivel: serverul DNS ocupă adesea o poziție privilegiată în rețea, cu vizibilitate asupra tuturor rezolvărilor.

Pentru NIS2, furnizorii de servicii DNS sunt incluși în mod explicit în infrastructura digitală; în Italia directiva a fost transpusă prin Decretul Legislativ 138/2024. Pentru celelalte entități, o întrerupere a DNS-ului care blochează servicii esențiale poate deveni un incident de evaluat pentru notificarea către CSIRT-ul național, care în Italia este CSIRT Italia al ACN. În sănătate, unde și sistemele clinice depind de rezolvarea internă a numelor, problema este continuitatea operațională.

Ce să faci acum

1. Fă inventarul sistemelor care rulează named: resolvere interne, servere autoritative expuse pe Internet, echipamente care includ BIND. Cu named -v vezi versiunea instalată.
2. Actualizează la versiunea corectată a ramurii tale: 9.20.30 sau 9.21.27, potrivit CERT.LV. Pentru ramura 9.18 și edițiile -S1, consultă avizul ISC. Dacă folosești pachetele unei distribuții Linux, referința este buletinul distribuției, care adesea aduce corecțiile fără să schimbe numărul principal al versiunii.
3. Dă prioritate serverelor care folosesc GSS-TSIG, RPZ sau zone redirect cu QNAME minimization strict. O verificare rapidă a configurației: named-checkconf -p | grep -E 'tkey-gssapi|response-policy|qname-minimization|type redirect'.
4. Redu expunerea: resolverele recursive ar trebui să răspundă doar clienților interni (allow-recursion), iar actualizările dinamice ar trebui să vină doar de la sistemele autorizate. Sunt bune practici generale, nu soluții temporare indicate de surse: pentru eventuale soluții de ocolire, referința este ISC.
5. Detectează: urmărește opririle și repornirile anormale ale named și vârfurile de procesor și memorie pe serverele DNS. În termenii MITRE ATT&CK, o exploatare s-ar încadra în T1190 (Exploit Public-Facing Application) pentru execuția de cod și în T1499.004 (Application or System Exploitation) pentru blocarea serviciului.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet, astfel încât găsești repede serverele cu versiuni BIND de actualizat. ARX Expose și ARX Scout îți spun ce servicii DNS ale companiei tale sunt accesibile de pe Internet: primul din surse publice, al doilea printr-o verificare autorizată a porturilor și serviciilor. ARX Sentry colectează jurnale și evenimente de pe serverele Linux, astfel încât o oprire anormală a named nu trece neobservată.

Ultima actualizare: 22 octombrie 2026