CVE-2026-3039
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
Podatność w serwerach BIND skonfigurowanych do uwierzytelniania TKEY z tokenami GSS-API. Otrzymanie spreparowanych pakietów może prowadzić do nadmiernego zużycia pamięci, co skutkuje odmową usługi.
Ocena ryzyka
Atakujący może zdalnie spowodować wyczerpanie pamięci serwera DNS, co prowadzi do przerwania działania usługi DNS i potencjalnie całej sieci.
Rekomendacja
Zaktualizuj BIND do wersji z poprawką. Jeśli to niemożliwe, tymczasowo wyłącz uwierzytelnianie TKEY lub ogranicz dostęp do serwera tylko do zaufanych klientów.
Inne podatności w BIND
Zobacz wszystkie- CVE-2025-13878Wysokie
Nieprawidłowo sformułowane rekordy BRID/HHIT mogą spowodować nieoczekiwane zakończenie działania serwera `named`. Podatność dotyczy określonych wersji BIND 9.
- CVE-1999-0024Średnie
Podatność CVE-1999-0024 dotyczy złośliwego ataku na pamięć podręczną DNS poprzez oprogramowanie BIND, wykorzystującego przewidywalne identyfikatory zapytań.
- CVE-2026-13321Wysokie
Resolver BIND akceptuje prawidłowo podpisane rekordy NSEC, w których pole "Next Domain Name" wskazuje poza strefę podpisującego. Problem dotyczy wersji BIND 9 od 9.11.0 do 9.18.50, 9.20.0-9.20.24, 9.21.0-9.21.23 oraz wersji S1.
- CVE-2026-13204Wysokie
BIND 9 w określonych wersjach może niespodziewanie zakończyć działanie z asercją podczas walidacji dowodu, jeśli domena objęta jest zarówno rekordem NSEC, jak i NSEC3, a istnieje RRSIG tylko dla jednego z tych typów.
- CVE-2026-12617Wysokie
W BIND 9 występuje podatność prowadząca do nieoczekiwanego zakończenia procesu named. Problem pojawia się przy specyficznym zestawieniu odpowiedzi na zapytania o rekordy CNAME, DNAME i A, gdy autorytatywny serwer opóźnia odpowiedź.
- CVE-2026-11721Wysokie
W BIND 9 istnieje podatność, w której atakujący może odpowiedzieć na zapytanie rekordem RRSIG z mniejszą liczbą etykiet niż strefa, w której się znajduje. Powoduje to wygenerowanie nazwy wildcard dla krótszej strefy, co może prowadzić do zatrucia pamięci podręcznej (cache poisoning). Atak jest skuteczny tylko przy włączonej opcji synth-from-dnssec (domyślnie włączone).
- CVE-2026-11622Wysokie
Resolver DNSSEC podatny na atak losową subdomeną może doświadczyć niekontrolowanego wzrostu użycia pamięci, przekraczającego limit max-cache-size. Atakujący musi wysyłać zapytania szybciej niż resolver może przeprowadzać walidację.
- CVE-2026-11605Wysokie
Podatność na wyczerpanie zasobów w BIND związana z walidacją DNSSEC. Serwer zawsze waliduje wszystkie rekordy RRSIG w odpowiedzi, nawet jeśli nie są potrzebne, co prowadzi do nadmiernego zużycia CPU.
- CVE-2026-11331Wysokie
W BIND 9 występuje podatność związana z przetwarzaniem RPZ z politykami CNAME z użyciem symboli wieloznacznych. Atakujący może wysłać zapytanie o długą nazwę, wywołując błąd NAMETOOLONG, co może prowadzić do ominięcia reguł RPZ lub nieoczekiwanego zakończenia działania BIND 9.
- CVE-2026-10822Średnie
Błąd w BIND 9: akceptacja nieprawidłowej struktury danych w rekordzie DNS (algorytm PRIVATEDNS z nieprawidłową długością) może prowadzić do przerwania działania serwera przy próbie renderowania rekordu na tekst.
Oryginalny opis (angielski, źródło NVD)
BIND servers that are configured to use TKEY-based authentication via GSS-API tokens are vulnerable to excessive memory consumption when receiving and processing maliciously-constructed packets. Typically these servers will be found in Active Directory integrated DNS deployments and/or Kerberos-secured DNS environments. This issue affects BIND 9 versions 9.0.0 through 9.16.50, 9.18.0 through 9.18.48, 9.20.0 through 9.20.22, 9.21.0 through 9.21.21, 9.9.3-S1 through 9.16.50-S1, 9.18.11-S1 through 9.18.48-S1, and 9.20.9-S1 through 9.20.22-S1.