ISC BIND CVE-2015-5477: DoS prin interogări TKEY, în catalogul KEV

Pe 8 octombrie 2026, CISA a adăugat în catalogul Known Exploited Vulnerabilities (KEV) CVE-2015-5477, o vulnerabilitate din ISC BIND, serverul DNS foarte răspândit pe sistemele Linux și Unix și inclus în diverse produse ale terților. Defectul permite unui atacator de la distanță, fără autentificare, să oprească daemonul named trimițând interogări de tip TKEY. Rezultatul este un denial of service: serverul nu mai răspunde la cererile DNS.

Vulnerabilitatea nu este nouă: a fost publicată în iulie 2015 și corectată atunci de producător. Catalogul KEV reunește însă vulnerabilitățile pentru care CISA are dovezi de exploatare activă. Intrarea în catalog este deci un semnal de luat în serios dacă mai ai instalări BIND neactualizate.

Ce s-a întâmplat

CISA a inclus CVE-2015-5477 în KEV cu descrierea „ISC BIND Data Processing Errors Vulnerability” și a stabilit 11 octombrie 2026 ca termen pentru agențiile federale americane: trei zile, un termen foarte scurt. În catalog, utilizarea în campanii ransomware apare ca „necunoscută”.

Avizul cere aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, în acord cu directiva BOD 26-04 privind prioritizarea actualizărilor în funcție de risc și cu cerințele CISA de triaj criminalistic. Dacă măsurile de atenuare nu sunt disponibile, produsul trebuie scos din uz. Avizul cere și evaluarea expunerii la Internet a fiecărui sistem.

CISA nu explică de ce vulnerabilitatea intră în catalog abia acum și nu oferă detalii despre atacurile observate, autori sau victime.

Detalii tehnice

• CVE: CVE-2015-5477, publicată pe 29 iulie 2015. Fișa NVD a fost actualizată pe 9 octombrie 2026.
• Produs și versiuni afectate: named din ISC BIND 9.x anterioare versiunii 9.9.7-P2 și BIND 9.10.x anterioare versiunii 9.10.2-P3.
• Versiuni corectate: 9.9.7-P2 și 9.10.2-P3 sau ulterioare.
• Vector: rețea, prin interogări DNS de tip TKEY. Interogările TKEY servesc la schimbul de chei între clienții și serverele DNS.
• Efect: o verificare internă de tip REQUIRE eșuează (assertion failure) și daemonul named se oprește. Serviciul DNS rămâne oprit până la repornirea procesului.
• Gravitate: CVSS 3.1 7.5 (ridicată), AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H. Atacul are loc prin rețea, are complexitate redusă, nu necesită privilegii sau interacțiunea utilizatorului și afectează doar disponibilitatea. CVSS 2: 7.8 (ridicată).
• Slăbiciuni: CWE-617 (aserțiune accesibilă) și CWE-19 (erori de procesare a datelor).
• Cod public: printre referințele fișei NVD apare o pagină Packet Storm intitulată „BIND TKEY Query Denial Of Service”.
• Buletine asociate: fișa NVD enumeră și avizele Red Hat, Debian, Fedora, openSUSE, Oracle și Juniper. BIND este prezent deci și în distribuții Linux și în produse ale terților, care au publicat propriile corecturi.
• MITRE ATT&CK: T1499.004 (Endpoint Denial of Service: Application or System Exploitation).

Impactul pentru companiile europene și italiene

DNS-ul este un serviciu de care depinde aproape totul: e-mail, aplicații web, acces de la distanță, servicii interne. Dacă serverul DNS se oprește, se opresc și serviciile care folosesc numele pe care le rezolvă. Paguba privește disponibilitatea: CVE-ul nu afectează confidențialitatea sau integritatea datelor.

Cele mai expuse sisteme sunt cele pe care nimeni nu le-a mai actualizat de ani de zile. De exemplu, servere DNS interne vechi, mașini virtuale uitate sau echipamente care includ BIND fără ca acest lucru să fie evident.

Pentru entitățile NIS2, problema are două aspecte. Furnizorii de servicii DNS intră explicit în domeniul de aplicare al directivei, printre infrastructurile digitale. Pentru toți ceilalți, o oprire a DNS-ului care întrerupe servicii esențiale poate deveni un incident de evaluat pentru notificarea către CSIRT-ul național, care în Italia este CSIRT Italia al ACN. În sănătate, unde și sistemele clinice depind de rezolvarea internă a numelor, indisponibilitatea DNS-ului este o problemă de continuitate operațională.

Ce să faci imediat

1. Fă inventarul: identifică toate sistemele pe care rulează named, inclusiv serverele DNS interne, cele expuse la Internet și echipamentele care includ BIND.
2. Verifică versiunile: instalările BIND 9.9 anterioare versiunii 9.9.7-P2 și BIND 9.10 anterioare versiunii 9.10.2-P3 sunt vulnerabile. Dacă folosești pachetele unei distribuții Linux, verifică starea în buletinul distribuției, nu doar după numărul versiunii.
3. Actualizează: instalează versiunea corectată indicată de producător sau de responsabilul distribuției. Dacă mai găsești ramuri BIND din acea perioadă, ia în calcul trecerea la o versiune încă suportată de producător.
4. Pentru echipamentele terților, urmează buletinul furnizorului. Dacă nu există o corectură, CISA indică scoaterea produsului din uz.
5. Redu expunerea: verifică ce servere DNS răspund la interogări din Internet și dacă este cu adevărat necesar.
6. Detectează: urmărește opririle și repornirile anormale ale named și caută în jurnale mesajele de assertion failure urmate de ieșirea procesului.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet și le scoate în evidență pe cele deja exploatate de atacatori, precum CVE-urile din catalogul KEV: te ajută să găsești rapid serverele cu versiuni BIND de actualizat. ARX Expose controlează serviciile pe care compania ta le expune pe Internet și vulnerabilitățile cunoscute ale produselor recunoscute. ARX Sentry colectează jurnale și evenimente de pe serverele Linux, astfel încât o oprire anormală a serviciului DNS să nu treacă neobservată.

Ultima actualizare: 8 octombrie 2026