Разработчики DNS-сервера BIND выпустили обновленный исходный код, который устраняет уязвимость, позволяющую внедрять вредоносный код в сервис.
В DNS-сервере BIND разработчики обнаружили уязвимость безопасности, которая может позволить злоумышленникам внедрять и запускать вредоносный код. Они предоставили обновленный исходный код, устраняющий эту уязвимость.
Разработчики системы BIND сообщили об уязвимости в информационной безопасности. Проблема может быть вызвана атакой повторной передачи (replay attack), при которой злоумышленники перехватывают UDP-пакеты, подписанные с помощью GSS-TSIG, и отправляют их повторно на сервер. Если это происходит в то время, когда согласованный ключ TSIG все еще действителен, уязвимый код BIND не распознает повторные пакеты как недействительные, а обрабатывает их как новые, что приводит к ошибкам в работе памяти, объясняют разработчики. Кроме того, если злоумышленники отправляют специально подготовленные запросы на зону, находящуюся под их контролем, они могут потенциально внедрить и выполнить вредоносный код (CVE-2026-94300, CVSS 8.1, уровень риска "высокий"). Разработчики BIND сообщают, что эта уязвимость может быть использована извне сети. В настоящее время обходных путей для решения этой проблемы не существует.
Затронуты версии BIND от 9.11.0 до 9.18.50, от 9.20.0 до 9.20.29, от 9.21.0 до 9.21.26, а также предварительные версии от 9.11.3-S1 до 9.18.50-S1 и от 9.20.9-S1 до 9.20.29-S1. Пользователям BIND рекомендуется как можно скорее обновить свои системы до последних версий, содержащих исправления безопасности. Это версии BIND 9.20.30, 9.21.27, а также предварительная поддерживаемая версия BIND 9.20.30-S1 для клиентов, получающих поддержку от ISC.
Обнаружены две уязвимости.
Программисты компании BIND пока не обладают информацией об активных эксплойтах, использующих данную уязвимость. Они сообщают, что обнаружили эту проблему в ходе внутренних тестов и благодарят Дэйва Айтела из OpenAI. Он независимо от них выявил эту уязвимость и сообщил о ней в рамках программы ответственного раскрытия информации.
Администраторам следует как можно скорее установить обновление. На прошлой неделе были зафиксированы атаки на серверы BIND, работающие в открытых сетях. Однако злоумышленники использовали очень старую уязвимость, обнаруженную еще в 2015 году.
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале