CVE-2026-3104
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Specjalnie spreparowana domena może spowodować wyciek pamięci w resolverze BIND poprzez samo zapytanie o tę domenę. Podatność dotyczy BIND 9 w wersjach 9.20.0 do 9.20.20, 9.21.0 do 9.21.19 oraz 9.20.9-S1 do 9.20.20-S1.
Ocena ryzyka
Wyciek pamięci może prowadzić do wyczerpania zasobów systemowych i awarii usługi DNS, co zakłóci działanie aplikacji i usług sieciowych zależnych od rozwiązywania nazw.
Rekomendacja
Zaleca się natychmiastową aktualizację BIND do wersji 9.20.21, 9.21.20 lub nowszej, a w przypadku wersji S1 do 9.20.21-S1 lub nowszej.
Inne podatności w BIND
Zobacz wszystkie- CVE-2025-13878Wysokie
Nieprawidłowo sformułowane rekordy BRID/HHIT mogą spowodować nieoczekiwane zakończenie działania serwera `named`. Podatność dotyczy określonych wersji BIND 9.
- CVE-1999-0024Średnie
Podatność CVE-1999-0024 dotyczy złośliwego ataku na pamięć podręczną DNS poprzez oprogramowanie BIND, wykorzystującego przewidywalne identyfikatory zapytań.
- CVE-2026-13321Wysokie
Resolver BIND akceptuje prawidłowo podpisane rekordy NSEC, w których pole "Next Domain Name" wskazuje poza strefę podpisującego. Problem dotyczy wersji BIND 9 od 9.11.0 do 9.18.50, 9.20.0-9.20.24, 9.21.0-9.21.23 oraz wersji S1.
- CVE-2026-13204Wysokie
BIND 9 w określonych wersjach może niespodziewanie zakończyć działanie z asercją podczas walidacji dowodu, jeśli domena objęta jest zarówno rekordem NSEC, jak i NSEC3, a istnieje RRSIG tylko dla jednego z tych typów.
- CVE-2026-12617Wysokie
W BIND 9 występuje podatność prowadząca do nieoczekiwanego zakończenia procesu named. Problem pojawia się przy specyficznym zestawieniu odpowiedzi na zapytania o rekordy CNAME, DNAME i A, gdy autorytatywny serwer opóźnia odpowiedź.
- CVE-2026-11721Wysokie
W BIND 9 istnieje podatność, w której atakujący może odpowiedzieć na zapytanie rekordem RRSIG z mniejszą liczbą etykiet niż strefa, w której się znajduje. Powoduje to wygenerowanie nazwy wildcard dla krótszej strefy, co może prowadzić do zatrucia pamięci podręcznej (cache poisoning). Atak jest skuteczny tylko przy włączonej opcji synth-from-dnssec (domyślnie włączone).
- CVE-2026-11622Wysokie
Resolver DNSSEC podatny na atak losową subdomeną może doświadczyć niekontrolowanego wzrostu użycia pamięci, przekraczającego limit max-cache-size. Atakujący musi wysyłać zapytania szybciej niż resolver może przeprowadzać walidację.
- CVE-2026-11605Wysokie
Podatność na wyczerpanie zasobów w BIND związana z walidacją DNSSEC. Serwer zawsze waliduje wszystkie rekordy RRSIG w odpowiedzi, nawet jeśli nie są potrzebne, co prowadzi do nadmiernego zużycia CPU.
- CVE-2026-11331Wysokie
W BIND 9 występuje podatność związana z przetwarzaniem RPZ z politykami CNAME z użyciem symboli wieloznacznych. Atakujący może wysłać zapytanie o długą nazwę, wywołując błąd NAMETOOLONG, co może prowadzić do ominięcia reguł RPZ lub nieoczekiwanego zakończenia działania BIND 9.
- CVE-2026-10822Średnie
Błąd w BIND 9: akceptacja nieprawidłowej struktury danych w rekordzie DNS (algorytm PRIVATEDNS z nieprawidłową długością) może prowadzić do przerwania działania serwera przy próbie renderowania rekordu na tekst.
Oryginalny opis (angielski, źródło NVD)
A specially crafted domain can be used to cause a memory leak in a BIND resolver simply by querying this domain. This issue affects BIND 9 versions 9.20.0 through 9.20.20, 9.21.0 through 9.21.19, and 9.20.9-S1 through 9.20.20-S1. BIND 9 versions 9.18.0 through 9.18.46 and 9.18.11-S1 through 9.18.46-S1 are NOT affected.