BIND 9: Hochriskante Replay-Lücke ermöglicht potenziell Schadcode-Ausführung
Die BIND-Maintainer haben eine Sicherheitslücke im DNS-Server geschlossen, über die Angreifer unter bestimmten Voraussetzungen Schadcode einschleusen und ausführen können. Die Lücke ist aus dem Internet ausnutzbar und wird mit einem hohen Risiko bewertet. Für betroffene Betreiber bedeutet das: Ein Update ist erforderlich, weil es laut den Entwicklern keinen Workaround gibt.
Ausgangspunkt ist eine Replay-Attacke auf GSS-TSIG-signierte UDP-Pakete. Angreifer fangen ein solches Paket ab und senden es erneut an den Server. Ist der ausgehandelte TSIG-Schlüssel noch gültig, behandelt der verwundbare Code das wiederholte Paket nicht als ungültig, sondern verarbeitet es erneut. Nach Angaben der Programmierer führt das zu Speicherfehlern.
Für eine mögliche Codeausführung reicht der Replay-Vorgang allein nach der vorliegenden Beschreibung nicht aus. Angreifer müssen zusätzlich präparierte Anfragen an eine von ihnen kontrollierte Zone senden. Dadurch kann die Schwachstelle laut BIND potenziell zur Einschleusung und Ausführung von Schadcode führen. Die Lücke trägt die Kennung CVE-2026-94300 und einen CVSS-Wert von 8.1.
Betroffen sind die BIND-9-Reihen 9.11.0 bis 9.18.50, 9.20.0 bis 9.20.29 und 9.21.0 bis 9.21.26. Ebenfalls genannt werden mehrere Supported-Preview-Versionen. Als korrigierte Fassungen nennt die Mitteilung BIND 9.20.30 und 9.21.27; Supportkunden steht außerdem BIND Supported Preview Edition 9.20.30-S1 zur Verfügung.
Administratoren sollten zunächst prüfen, ob ihre Nameserver eine der betroffenen Fassungen einsetzen, und anschließend auf eine der genannten korrigierten Versionen aktualisieren. Die BIND-Entwickler empfehlen ein zügiges Vorgehen. Eine unmittelbare Einstufung als aktiv ausgenutzte Lücke lässt sich aus der Mitteilung jedoch nicht ableiten: Zum Zeitpunkt der Veröffentlichung lagen den Entwicklern keine Kenntnisse über aktive Exploits vor.
Die Warnung steht zudem vor dem Hintergrund, dass zuvor Angriffe auf BIND-Server bekannt geworden waren. Dabei zielten die Täter laut der Mitteilung allerdings auf eine alte Sicherheitslücke aus dem Jahr 2015 und nicht auf CVE-2026-94300. Dieser Unterschied ist für die Bewertung wichtig: Die neue Lücke ist noch nicht als aktiv ausgenutzt beschrieben, bleibt wegen ihrer Internet-Erreichbarkeit und der fehlenden Workarounds aber dringlich.