„`html
Zusammenfassung
CVE-2026-5946 beschreibt mehrere kritische Schwachstellen im DNS-Server BIND 9, die bei der Verarbeitung von DNS-Anfragen mit nicht-Internet-Klassen (wie CHAOS oder HESIOD) sowie Meta-Klassen (ANY, NONE) auftreten. Speziell konstruierte DNS-Requests führen zu Assertion-Fehlern und können den Named-Daemon zum Absturz bringen. Mit einem CVSS-Score von 7.5 stellt diese Vulnerability ein erhebliches Risiko für die Verfügbarkeit von DNS-Infrastrukturen dar.
Betroffene Systeme
Die Schwachstelle betrifft mehrere BIND 9-Versionsreihen:
- BIND 9.11.0 bis 9.16.50
- BIND 9.18.0 bis 9.18.48
- BIND 9.20.0 bis 9.20.22
- BIND 9.21.0 bis 9.21.21
- Entsprechende Security-Update-Branches (-S1 Versionen)
Betroffen sind primär autoritative DNS-Server und rekursive Resolver, die diese BIND-Versionen betreiben.
Technische Details
Der Schwachpunkt liegt in der Behandlung von DNS-Klassen, die nicht dem Standard-Internet-Standard entsprechen. Angreifer können speziell manipulierte DNS-Pakete konstruieren, die folgende Code-Pfade auslösen:
- Rekursive Anfrageverarbeitung mit non-IN-Klassen
- Dynamische DNS-Updates (UPDATE) mit ungültigen Klassen
- Zone-Change-Notifications (NOTIFY)
- Verarbeitung von IN-spezifischen Record-Typen in non-IN-Zonen
Diese führen zu unerwarteten Assertion-Failures, wodurch der Named-Daemon terminiert. Ein Remote-Angreifer kann diesen Denial-of-Service-Zustand ohne Authentifizierung über das Netzwerk auslösen.
Empfohlene Massnahmen
Sofortmassnahmen: Ein Patch ist derzeit nicht verfügbar. Implementieren Sie Rate-Limiting und Packet-Filtering auf Netzwerk-Ebene, um verdächtige DNS-Queries mit unkonventionellen Klassen zu blockieren. Aktivieren Sie BIND-Logging, um abnormale Anfragen zu erkennen.
Monitoring: Überwachen Sie Named-Prozesse auf unerklärte Neustarts und analysieren Sie DNS-Query-Logs auf Anomalien mit non-Internet-Klassen.
Langfristig: Wenden Sie sich an den ISC-Support und installieren Sie Patches, sobald diese verfügbar sind.
Bewertung
Die Vulnerability erfordert sofortige Aufmerksamkeit. Der netzwerkbasierte Angriffsvektor ohne Authentifizierung ermöglicht einfache DoS-Angriffe. Die fehlenden Patches erhöhen die Dringlichkeit von Abwehrmassnahmen auf Infrastruktur-Ebene erheblich.
„`