Távoli kódfuttatást tehet lehetővé a BIND 9 most javított hibája
Az internet felől is kihasználható hibát javítottak a BIND 9 DNS-szerverben: megfelelően előkészített kérésekkel támadói kód futhat a kiszolgálón. Kerülőmegoldás a fejlesztők közlése szerint nincs, ezért érdemes mielőbb frissíteni. A sérülékenység aktív kihasználásáról egyelőre nincs tudomásuk.
Egy elfogott üzenet ismételt elküldése indíthatja el a támadást
A CVE-2026-94300 azonosítójú sebezhetőség kihasználásához a támadónak először el kell fognia egy GSS-TSIG-aláírással ellátott UDP-üzenetet. Ezt akkor kell ismét elküldenie a szervernek, amikor az egyeztetett TSIG-kulcs még érvényes.
A fejlesztők leírása szerint a sérülékeny kód ilyenkor nem utasítja el érvénytelenként az ismételt csomagot, hanem újként dolgozza fel. Ez memóriahibát okozhat a BIND kiszolgálófolyamatában, a named programban.
A lehetséges kódfuttatáshoz további lépés is tartozik: a támadó külön előkészített lekérdezéseket küld egy saját ellenőrzése alatt álló zónához. Az elfogott üzenet újbóli elküldésével együtt ez teremtheti meg a távoli kódfuttatás lehetőségét. A közlés tehát nem pusztán egy tetszőleges kérés elküldéséhez köti ezt a következményt.
A 9.11-es sorozattól kezdve több verzióág érintett
Az érintettségi lista nem egyetlen kiadásra korlátozódik. A közlés az alábbi verziótartományokat nevezi meg:
- BIND 9.11.0-tól 9.18.50-ig;
- BIND 9.20.0-tól 9.20.29-ig;
- BIND 9.21.0-tól 9.21.26-ig.
A támogatott előzetes kiadások között a 9.11.3-S1-től 9.18.50-S1-ig, valamint a 9.20.9-S1-től 9.20.29-S1-ig terjedő változatok szerepelnek. Az S1 jelölésű csomagok tehát szintén megtalálhatók a sérülékeny verziók felsorolásában.
A javított változatok a BIND 9.20.30 és 9.21.27, az ISC támogatási ügyfeleinek pedig a BIND Supported Preview Edition 9.20.30-S1 kiadása készült el. A fejlesztők frissített forráskódot tettek elérhetővé a biztonsági probléma megszüntetésére.
Magas a súlyossága, de ez nem jelent észlelt támadást
A hiba CVSS-pontszáma 8,1, ami a magas súlyossági kategóriába tartozik. A CVSS a sebezhetőség műszaki súlyosságát jelzi egy 0-10 skálán; önmagában nem mondja meg, hogy visszaélnek-e vele.
A BIND fejlesztői szerint a probléma az internet felől is kihasználható. Ugyanakkor közlésük idején nem tudtak a sérülékenységet célzó aktív támadásról. Az érintett telepítéseket ennek ellenére érdemes mielőbb a biztonsági javítást tartalmazó kiadásokra frissíteni.
Ideiglenes kerülőmegoldás a biztonsági közlés szerint nincs; a megadott megoldás a javított változatra frissítés.
Belső teszt és független bejelentés is feltárta a hibát
A sérülékenységet a BIND programozói belső tesztelés közben találták meg. Tőlük függetlenül Dave Aitel, az OpenAI munkatársa is felfedezte, majd felelős hibabejelentés keretében jelezte nekik. A fejlesztők megköszönték a közreműködését.
A beszámoló korábbi, BIND-szerverek ellen észlelt támadásokat is említ, de azok nem ehhez az új hibához kapcsolódtak. Az elkövetők azokban az esetekben egy 2015-ös sebezhetőséget céloztak.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum