BIND 9: Codeschmuggel-Lücke im Nameserver

Im DNS-Server BIND haben die Entwickler eine Sicherheitslücke entdeckt, durch die bösartige Akteure unter Umständen Schadcode einschleusen und ausführen können. Sie stellen aktualisierten Quellcode bereit, der das Sicherheitsleck schließt.

Darüber informieren die BIND-Maintainer in einer Sicherheitsmitteilung. Das Problem kann durch eine Replay-Attacke mit abgefangenen GSS-TSIG-signierten UDP-Paketen ausgelöst werden. Dabei fangen bösartige Akteure solch ein Paket ab und senden es erneut an den Server. Passiert dies, während der ausgehandelte TSIG-Key noch gültig ist, verwirft der verwundbare BIND-Code die wiederholten Pakete nicht als ungültig, sondern verarbeitet sie als neu, was zu Speicherfehlern führt, erklären die Programmierer. Schicken Angreifer zusätzlich präparierte Anfragen an eine von ihnen kontrollierte Zone, können sie potenziell Schadcode einschleusen und ausführen (CVE-2026-94300, CVSS 8.1, Risiko „hoch“). Die Lücke lässt sich aus dem Internet ausnutzen, erklären die BIND-Entwickler. Workarounds gibt es demnach keine.

Betroffen sind BIND 9.11.0 bis 9.18.50, 9.20.0 bis 9.20.29, 9.21.0 bis 9.21.26 und die Vorschauversionen 9.11.3-S1 bis 9.18.50-S1 sowie 9.20.9-S1 bis 9.20.29-S1. Wer BIND einsetzt, sollte zügig auf die jüngsten Fassungen mit den Sicherheitskorrekturen aktualisieren. Das wären BIND 9.20.30, 9.21.27 und für ISC-Supportkunden die BIND Supported Preview Edition 9.20.30-S1.

Doppelter Schwachstellenfund

Die BIND-Programmierer haben noch keine Kenntnisse über aktive Exploits der Schwachstelle. Sie führen aus, dass sie die Lücke bei internen Tests gefunden hätten, und danken Dave Aitel von OpenAI. Der habe die Schwachstelle unabhängig davon entdeckt und im Rahmen einer Responsible Disclosure gemeldet.

Admins sollten das Update zügig anwenden. Vorletzte Woche wurden etwa Angriffe auf BIND-Server in freier Wildbahn bekannt. Allerdings hatten die Täter dort eine uralte Sicherheitslücke aus dem Jahr 2015 im Visier.