Poważna luka w BIND9 (CVE-2026-94300): atakujący może doprowadzić do utraty dostępu do usługi lub RCE.

Przedstawiciele organizacji Internet Systems Consortium (ISC) zaalarmowali o wykryciu krytycznej podatności w BIND9 (Berkeley Internet Name Domain, wersja 9) – popularnym, otwartoźródłowym oprogramowaniu pełniącym rolę serwera DNS (Domain Name System). Dla przypomnienia, serwer DNS odpowiada za zamianę zrozumiałych dla człowieka nazw witryn (np. domena[.]pl) na ich odpowiedniki w postaci adresów IP.

TLDR:

• W serwerze DNS BIND9 zidentyfikowano poważną podatność umożliwiającą zdalne wykonanie kodu (RCE) lub doprowadzenie do odmowy usługi (DoS).
• Błąd wynika z nieprawidłowej obsługi pakietów DNS przez serwer, co skutkuje możliwością przesłania tego samego, uwierzytelnionego pakietu w wyznaczonym oknie czasowym (zależnym od ważności klucza).
• Atakujący ma możliwość przesłania sfałszowanej odpowiedzi z serwera DNS oraz wstrzyknięcie złośliwego kodu.
• Atak jest skomplikowany i wymaga spełnienia ściśle określonych warunków (przechwycenie pakietu, podrobienie odpowiedzi DNS w czasie ważności klucza sesji). Z drugiej strony cyberprzestępca nie musi posiadać żadnych uprawnień, a cała operacja odbywa się bez interakcji ze strony użytkownika.
• Podatność została naprawiona w wersjach 9.20.30, 9.21.27 oraz 9.20.30-S1.

Na skutek wykrytego błędu potencjalny atakujący może doprowadzić do uszkodzenia obszaru pamięci w procesie named serwera DNS. Jak łatwo się domyślić luka może prowadzić do utraty dostępu, a w niektórych przypadkach do zdalnego wykonania kodu (RCE).

Podatność została oznaczona identyfikatorem CVE-2026-94300 z wynikiem 8.1 w CVSS v3.1. Żeby lepiej zrozumieć na czym polega problem, należy wyjaśnić w jaki sposób BIND obsługuje Generic Security Services Transaction Signature (GSS-TSIG), czyli protokół służący do uwierzytelniania transakcji i wiadomości w DNS.

Protokół ten opiera się na mechanizmie TKEY, który pozwala klientowi i serwerowi wynegocjować wspólny klucz sesji dla protokołu Kerberos. Po nawiązaniu bezpiecznego połączenia serwer DNS (proces named) wykorzystuje ten klucz do weryfikacji i podpisywania wszystkich komunikatów przesyłanych w trakcie jego trwania.

Z uwagi na błędy implementacyjne w BIND9, obsługa współdzielonego stanu sesji Kerberos nie była odpowiednio zsynchronizowana. W konsekwencji potencjalny atakujący mógł przechwycić prawidłowo podpisany komunikat UDP, a następnie przesłać ten sam pakiet ponownie do serwera. Serwer (proces name) nie tylko nie odrzucał pakietu (zidentyfikowanego jako powtórzony), ale również próbował go przetworzyć. W efekcie dochodziło do wyścigu (race condition) oraz błędu typu double free (dwukrotnego zwolnienia tego samego obszaru pamięci).

Podatność została wysoko oceniona (High) w systemie CVSS v3.0, mimo że atak jest skomplikowany i wymaga spełnienia wielu warunków. Atakujący musi przechwycić poprawny pakiet, zmieścić się w czasie ważności klucza oraz wygenerować odpowiednio sfałszowaną odpowiedź DNS, tak aby wstrzyknąć kod i wykonać go w systemie. Z drugiej strony exploit nie wymaga żadnych uprawnień ani interakcji ze strony użytkownika, co czyni go wyjątkowo niebezpiecznym.

Podatne są następujące wersje:

• 9.11.0 → 9.18.50,
• 9.20.0 → 9.20.29,
• 9.21.0 → 9.21.26,
• 9.11.3-S1 → 9.18.50-S1,
• 9.20.9-S1 → 9.20.29-S1.

ISC wypuściło poprawione wersje oprogramowania:

• 9.20.30,
• 9.21.27,
• 9.20.30-S1.

Niestety, nie istnieje żaden sposób na obejście problemu (workaround). Jedynym rozwiązaniem jest aktualizacja BIND9 do najnowszej wersji. Organizacja poinformowała również, że nie posiada wiedzy o rzekomych aktywnych działaniach związanych z tą podatnością.

Źródło: heise.de, kb.isc.org   

~secmike