// HEISE ONLINE — CYBERSECURITY
BIND 9: Codeschmuggel-Lücke im Nameserver
Die Entwickler des Nameservers BIND haben aktualisierte Quellcodes veröffentlicht, die eine Schadcode-Lücke im Dienst schließen.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Im DNS-Server BIND haben die Entwickler eine Sicherheitslücke entdeckt, durch die bösartige Akteure unter Umständen Schadcode einschleusen und ausführen können. Sie stellen aktualisierten Quellcode bereit, der das Sicherheitsleck schließt.
Darüber informieren die BIND-Maintainer in einer Sicherheitsmitteilung. Das Problem kann durch eine Replay-Attacke mit abgefangenen GSS-TSIG-signierten UDP-Paketen ausgelöst werden. Dabei fangen bösartige Akteure solch ein Paket ab und senden es erneut an den Server. Passiert dies, während der ausgehandelte TSIG-Key noch gültig ist, verwirft der verwundbare BIND-Code die wiederholten Pakete nicht als ungültig, sondern verarbeitet sie als neu, was zu Speicherfehlern führt, erklären die Programmierer. Schicken Angreifer zusätzlich präparierte Anfragen an eine von ihnen kontrollierte Zone, können sie potenziell Schadcode einschleusen und ausführen (CVE-2026-94300, CVSS 8.1, Risiko „hoch“). Die Lücke lässt sich aus dem Internet ausnutzen, erklären die BIND-Entwickler. Workarounds gibt es demnach keine.
Betroffen sind BIND 9.11.0 bis 9.18.50, 9.20.0 bis 9.20.29, 9.21.0 bis 9.21.26 und die Vorschauversionen 9.11.3-S1 bis 9.18.50-S1 sowie 9.20.9-S1 bis 9.20.29-S1. Wer BIND einsetzt, sollte zügig auf die jüngsten Fassungen mit den Sicherheitskorrekturen aktualisieren. Das wären BIND 9.20.30, 9.21.27 und für ISC-Supportkunden die BIND Supported Preview Edition 9.20.30-S1.
Die BIND-Programmierer haben noch keine Kenntnisse über aktive Exploits der Schwachstelle. Sie führen aus, dass sie die Lücke bei internen Tests gefunden hätten, und danken Dave Aitel von OpenAI. Der habe die Schwachstelle unabhängig davon entdeckt und im Rahmen einer Responsible Disclosure gemeldet.
Admins sollten das Update zügig anwenden. Vorletzte Woche wurden etwa Angriffe auf BIND-Server in freier Wildbahn bekannt. Allerdings hatten die Täter dort eine uralte Sicherheitslücke aus dem Jahr 2015 im Visier.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.