CVE-2026-5946
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 78 - wyżej niż 78% wszystkich znanych CVE
Streszczenie
Wiele błędów w `named` dotyczących obsługi komunikatów DNS z klasami innymi niż IN (np. CHAOS, HESIOD) lub meta-klasami (ANY, NONE). Specjalnie spreparowane zapytania mogą powodować błędy asercji w `named`.
Ocena ryzyka
Atakujący może zdalnie spowodować awarię serwera DNS poprzez wysłanie spreparowanych zapytań, co prowadzi do przerwy w działaniu usługi.
Rekomendacja
Zaktualizuj BIND 9 do wersji 9.16.51, 9.18.49, 9.20.23, 9.21.22 lub nowszej.
Inne podatności w BIND 9
Zobacz wszystkie- CVE-2025-13878Wysokie
Nieprawidłowo sformułowane rekordy BRID/HHIT mogą spowodować nieoczekiwane zakończenie działania serwera `named`. Podatność dotyczy określonych wersji BIND 9.
- CVE-1999-0024Średnie
Podatność CVE-1999-0024 dotyczy złośliwego ataku na pamięć podręczną DNS poprzez oprogramowanie BIND, wykorzystującego przewidywalne identyfikatory zapytań.
- CVE-2026-13321Wysokie
Resolver BIND akceptuje prawidłowo podpisane rekordy NSEC, w których pole "Next Domain Name" wskazuje poza strefę podpisującego. Problem dotyczy wersji BIND 9 od 9.11.0 do 9.18.50, 9.20.0-9.20.24, 9.21.0-9.21.23 oraz wersji S1.
- CVE-2026-13204Wysokie
BIND 9 w określonych wersjach może niespodziewanie zakończyć działanie z asercją podczas walidacji dowodu, jeśli domena objęta jest zarówno rekordem NSEC, jak i NSEC3, a istnieje RRSIG tylko dla jednego z tych typów.
- CVE-2026-12617Wysokie
W BIND 9 występuje podatność prowadząca do nieoczekiwanego zakończenia procesu named. Problem pojawia się przy specyficznym zestawieniu odpowiedzi na zapytania o rekordy CNAME, DNAME i A, gdy autorytatywny serwer opóźnia odpowiedź.
- CVE-2026-11721Wysokie
W BIND 9 istnieje podatność, w której atakujący może odpowiedzieć na zapytanie rekordem RRSIG z mniejszą liczbą etykiet niż strefa, w której się znajduje. Powoduje to wygenerowanie nazwy wildcard dla krótszej strefy, co może prowadzić do zatrucia pamięci podręcznej (cache poisoning). Atak jest skuteczny tylko przy włączonej opcji synth-from-dnssec (domyślnie włączone).
- CVE-2026-11622Wysokie
Resolver DNSSEC podatny na atak losową subdomeną może doświadczyć niekontrolowanego wzrostu użycia pamięci, przekraczającego limit max-cache-size. Atakujący musi wysyłać zapytania szybciej niż resolver może przeprowadzać walidację.
- CVE-2026-11605Wysokie
Podatność na wyczerpanie zasobów w BIND związana z walidacją DNSSEC. Serwer zawsze waliduje wszystkie rekordy RRSIG w odpowiedzi, nawet jeśli nie są potrzebne, co prowadzi do nadmiernego zużycia CPU.
- CVE-2026-11331Wysokie
W BIND 9 występuje podatność związana z przetwarzaniem RPZ z politykami CNAME z użyciem symboli wieloznacznych. Atakujący może wysłać zapytanie o długą nazwę, wywołując błąd NAMETOOLONG, co może prowadzić do ominięcia reguł RPZ lub nieoczekiwanego zakończenia działania BIND 9.
- CVE-2026-10822Średnie
Błąd w BIND 9: akceptacja nieprawidłowej struktury danych w rekordzie DNS (algorytm PRIVATEDNS z nieprawidłową długością) może prowadzić do przerwania działania serwera przy próbie renderowania rekordu na tekst.
Oryginalny opis (angielski, źródło NVD)
Multiple flaws have been identified in `named` related to the handling of DNS messages whose CLASS is not Internet (`IN`) — for example, `CHAOS` or `HESIOD`, or DNS messages that specify meta-classes (`ANY` or `NONE`) in the question section. Specially crafted requests reaching the affected code paths — recursion, dynamic updates (`UPDATE`), zone change notifications (`NOTIFY`), or processing of `IN`-specific record types in non-`IN` data — can cause assertion failures in `named`. This issue affects BIND 9 versions 9.11.0 through 9.16.50, 9.18.0 through 9.18.48, 9.20.0 through 9.20.22, 9.21.0 through 9.21.21, 9.11.3-S1 through 9.16.50-S1, 9.18.11-S1 through 9.18.48-S1, and 9.20.9-S1 through 9.20.22-S1.