„`html
Zusammenfassung
Die Schwachstelle CVE-2026-11622 betrifft DNSSEC-validierende Resolver und ermöglicht einen Denial-of-Service-Angriff durch unkontrolliertes Speicherwachstum. Ein Angreifer kann durch gezielte Anfragen an zufällige Subdomänen einer DNSSEC-signierten Zone den Speicherverbrauch des Resolvers über die konfigurierte Obergrenze hinaus treiben. Der Schweregrad ist mit CVSS 7.5 als hoch eingestuft.
Betroffene Systeme
Folgende BIND 9 Versionen sind vulnerabel:
- 9.11.0 bis 9.18.50
- 9.20.0 bis 9.20.24
- 9.21.0 bis 9.21.23
- 9.11.3-S1 bis 9.18.50-S1 (Extended Support)
- 9.20.9-S1 bis 9.20.24-S1 (Extended Support)
Primär betroffen sind DNS-Infrastrukturen, die DNSSEC-Validierung durchführen und öffentlich erreichbar sind.
Technische Details
Der Angriff funktioniert durch sogenannte „Random Subdomain Attacks“ gegen DNSSEC-signierte Zonen. Der Angreifer sendet Queries für nicht-existente Subdomänen mit hoher Geschwindigkeit. Der Resolver versucht, diese Anfragen zu validieren, wobei DNSSEC-Signaturen überprüft werden. Dies führt zu erhöhtem Speicherverbrauch durch Zwischenspeicherung von Validierungsdaten.
Das kritische Problem liegt darin, dass der Speicherverbrauch die im Parameter `max-cache-size` definierte Obergrenze um ein Vielfaches übersteigen kann. Ein gut durchgeführter Angriff kann zu einer Speichererschöpfung und damit zum Ausfall des Resolvers führen.
Voraussetzung für den erfolgreichen Angriff ist, dass der Angreifer Queries schneller senden kann, als der Resolver diese validieren und verarbeiten kann.
Empfohlene Massnahmen
- BIND 9-Installation sofort auf patched Versionen aktualisieren, sobald verfügbar
- Rate Limiting für DNS-Queries implementieren, um Angriffsmuster zu erkennen
- Monitoring des Speicherverbrauchs von BIND-Prozessen etablieren
- Netzwerk-Filter einsetzen, um verdächtige Query-Muster frühzeitig zu erkennen
- Firewall-Regeln zur Begrenzung von DNS-Anfragen pro Quelle konfigurieren
Bewertung
CVSS 7.5 (High) – Network-basierter DoS-Angriff mit hohem Auswirkungspotenzial. Eine zeitnahe Patch-Installation ist dringend erforderlich. Temporäre Mitigationen durch Rate Limiting sind essentiell, bis offizielle Patches verfügbar sind.
„`