CVE-2026-13204
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
BIND 9 w określonych wersjach może niespodziewanie zakończyć działanie z asercją podczas walidacji dowodu, jeśli domena objęta jest zarówno rekordem NSEC, jak i NSEC3, a istnieje RRSIG tylko dla jednego z tych typów.
Ocena ryzyka
Atakujący może spowodować awarię serwera DNS, co prowadzi do odmowy usługi i przerwania rozwiązywania nazw.
Rekomendacja
Zaleca się aktualizację BIND do wersji 9.18.51, 9.20.25, 9.21.24 lub odpowiednich wersji S1, które zawierają poprawkę.
Inne podatności w BIND 9
Zobacz wszystkie- CVE-2025-13878Wysokie
Nieprawidłowo sformułowane rekordy BRID/HHIT mogą spowodować nieoczekiwane zakończenie działania serwera `named`. Podatność dotyczy określonych wersji BIND 9.
- CVE-1999-0024Średnie
Podatność CVE-1999-0024 dotyczy złośliwego ataku na pamięć podręczną DNS poprzez oprogramowanie BIND, wykorzystującego przewidywalne identyfikatory zapytań.
- CVE-2026-13321Wysokie
Resolver BIND akceptuje prawidłowo podpisane rekordy NSEC, w których pole "Next Domain Name" wskazuje poza strefę podpisującego. Problem dotyczy wersji BIND 9 od 9.11.0 do 9.18.50, 9.20.0-9.20.24, 9.21.0-9.21.23 oraz wersji S1.
- CVE-2026-12617Wysokie
W BIND 9 występuje podatność prowadząca do nieoczekiwanego zakończenia procesu named. Problem pojawia się przy specyficznym zestawieniu odpowiedzi na zapytania o rekordy CNAME, DNAME i A, gdy autorytatywny serwer opóźnia odpowiedź.
- CVE-2026-11721Wysokie
W BIND 9 istnieje podatność, w której atakujący może odpowiedzieć na zapytanie rekordem RRSIG z mniejszą liczbą etykiet niż strefa, w której się znajduje. Powoduje to wygenerowanie nazwy wildcard dla krótszej strefy, co może prowadzić do zatrucia pamięci podręcznej (cache poisoning). Atak jest skuteczny tylko przy włączonej opcji synth-from-dnssec (domyślnie włączone).
- CVE-2026-11622Wysokie
Resolver DNSSEC podatny na atak losową subdomeną może doświadczyć niekontrolowanego wzrostu użycia pamięci, przekraczającego limit max-cache-size. Atakujący musi wysyłać zapytania szybciej niż resolver może przeprowadzać walidację.
- CVE-2026-11605Wysokie
Podatność na wyczerpanie zasobów w BIND związana z walidacją DNSSEC. Serwer zawsze waliduje wszystkie rekordy RRSIG w odpowiedzi, nawet jeśli nie są potrzebne, co prowadzi do nadmiernego zużycia CPU.
- CVE-2026-11331Wysokie
W BIND 9 występuje podatność związana z przetwarzaniem RPZ z politykami CNAME z użyciem symboli wieloznacznych. Atakujący może wysłać zapytanie o długą nazwę, wywołując błąd NAMETOOLONG, co może prowadzić do ominięcia reguł RPZ lub nieoczekiwanego zakończenia działania BIND 9.
- CVE-2026-10822Średnie
Błąd w BIND 9: akceptacja nieprawidłowej struktury danych w rekordzie DNS (algorytm PRIVATEDNS z nieprawidłową długością) może prowadzić do przerwania działania serwera przy próbie renderowania rekordu na tekst.
- CVE-2026-10723Średnie
BIND może akceptować nieprawidłowe rekordy NSEC3 strefy podrzędnej jako poprawne, co może pozwolić atakującemu na sfałszowanie uwierzytelnionych odpowiedzi NXDOMAIN. Podatność dotyczy wersji BIND 9 od 9.18.0 do 9.18.50, 9.20.0 do 9.20.24, 9.21.0 do 9.21.23 oraz odpowiednich wersji -S1.
Oryginalny opis (angielski, źródło NVD)
If a provably insecure domain is covered by both an NSEC and NSEC3 record at the parent, and there exist an RRSIG for only one of these types, then BIND may exit unexpectedly with an assertion while validating this proof. This issue affects BIND 9 versions 9.11.0 through 9.18.50, 9.20.0 through 9.20.24, 9.21.0 through 9.21.23, 9.11.3-S1 through 9.18.50-S1, and 9.20.9-S1 through 9.20.24-S1.