В сервере доменных имён BIND 9 найдены четыре уязвимости, о которых ISC сообщила 21 октября 2026 года. Три из них приводят к отказу в обслуживании: сервер перестаёт отвечать на запросы. Четвёртая вызывает повреждение памяти и в худшем случае позволяет выполнить чужой код. Затронуты ветки с 9.11 по 9.21, а также BIND Supported Preview Edition - сборка с предварительными функциями для заказчиков поддержки ISC.
Четыре уязвимости BIND 9 и исправленные версии
Все четыре проблемы связаны с обработкой входящих сообщений DNS (система доменных имён переводит имена узлов в IP-адреса). Атака идёт по сети; учётные данные не нужны, участие пользователя не требуется. Достаточно отправить серверу один или несколько специально сформированных пакетов. Наиболее тяжёлую проблему, повреждение памяти, вендор оценил в 8.1 из 10 по шкале CVSS (общая система оценки уязвимостей).
Повреждение памяти при повторе подписанных сообщений
Эта уязвимость, CVE-2026-94300, затрагивает механизм GSS-TSIG - расширение, которое привязывает динамические обновления зоны к учётной записи Kerberos. Подписанное UDP-сообщение можно перехватить и отправить повторно, пока согласованный ключ TSIG остаётся действительным. Если параллельно слать запросы в зону, которой управляет злоумышленник, процесс named (основной процесс сервера BIND) повредит память. Итог - аварийное завершение либо, при удачном совпадении условий, выполнение чужого кода. Сложность атаки вендор считает высокой: сначала нужно перехватить подписанный пакет, затем подготовить собственную зону.
Перебор ресурсов и аварийное завершение процесса
Уязвимость CVE-2026-19630 касается сообщений определённой структуры: сервер обрабатывает их без ограничения объёма работы. Чем больше таких конструкций в пакете, тем больше процессорного времени и памяти расходует BIND. Отказ наступает из-за нехватки ресурсов, а не из-за ошибки в коде. Оценка - 7.5 из 10; атака возможна по сети, без аутентификации и без участия пользователя.
Две другие проблемы проявляются только при определённых настройках. Сервер с зоной перенаправления и строгой минимизацией имени запроса (qname-minimization strict - режим, при котором вышестоящий сервер получает только минимально нужную часть имени) может аварийно завершиться при обработке такой зоны. Второй случай требует, чтобы сервер разрешал рекурсивные запросы и держал не меньше двух зон политики ответов (RPZ - механизм подмены ответов по заданным правилам) с разными значениями параметра recursive-only. Запрос с требуемой рекурсией, за которым идёт запрос без неё, приводит к аварийному завершению процесса.
Обновления вышли в день публикации уведомлений. В ветке 9.20 нужна версия 9.20.30, в ветке 9.21 - 9.21.27. Для BIND Supported Preview Edition подготовлена сборка 9.20.30-S1.
Ветки 9.18 и старше патчей не получают, поскольку ISC поддерживает только актуальные выпуски. Если сервер работает на 9.18 или более ранней версии, нужен переход на 9.20.30 либо 9.21.27. Обходных мер нет: вендор не предлагает способа закрыть уязвимости настройками. Сведений об эксплуатации в реальных атаках тоже нет - все четыре проблемы выявили при внутреннем тестировании, а CVE-2026-94300 независимо описал исследователь Дэйв Айтел из OpenAI.
ISC выпускает уведомления по BIND партиями и ведёт матрицу уязвимостей, где собраны прежние проблемы и затронутые версии. Нынешний набор помечен уровнем High по классификации вендора, и все четыре пункта закрываются одним обновлением.
Рекурсивный сервер, открытый в интернет, уязвим ко всем четырём проблемам одновременно. Пока исправление не установлено, он рискует остановить обслуживание по одному пакету, а при отдельных конфигурациях - отдать процесс под чужой код.
Ссылки
- https://kb.isc.org/docs/cve-2026-19630
- https://kb.isc.org/docs/cve-2026-94300
- https://kb.isc.org/docs/cve-2026-96888
- https://kb.isc.org/docs/cve-2026-97313
