„`html
Zusammenfassung
CVE-2026-13321 ist eine High-Severity-Schwachstelle in BIND 9, die es Angreifern ermöglicht, validly-signed NSEC-Records mit einem „Next Domain Name“-Feld außerhalb der Signer-Zone zu akzeptieren. Dies kann zu DNS-Spoofing und Cache-Poisoning führen. Die Schwachstelle hat einen CVSS-Score von 8.6 und betrifft mehrere aktuelle BIND-Versionen. Derzeit ist kein Patch verfügbar.
Betroffene Systeme
- BIND 9.11.0 bis 9.18.50
- BIND 9.20.0 bis 9.20.24
- BIND 9.21.0 bis 9.21.23
- BIND 9.11.3-S1 bis 9.18.50-S1
- BIND 9.20.9-S1 bis 9.20.24-S1
Technische Details
Die Verwundbarkeit liegt in der DNSSEC-Validierungslogik des BIND-Resolvers. Normalerweise sollten NSEC-Records einen „Next Domain Name“ enthalten, der innerhalb der Signer-Zone liegt. Dies dient der Authentifizierung von Negativ-Antworten. Die fehlerhafte Implementierung akzeptiert jedoch signierte NSEC-Records, deren „Next Domain Name“-Feld auf Domains außerhalb der Zone des Signers zeigt.
Ein Angreifer kann diese Schwachstelle ausnutzen, um ungültige Zonendaten zu injizieren oder DNSSEC-Validierungen zu umgehen. Dies ermöglicht potenziell DNS-Spoofing-Attacken und Manipulation des DNS-Caches, was zu Man-in-the-Middle-Szenarien führen kann.
Empfohlene Massnahmen
- Sofortmassnahmen: Überwachen Sie Ihre BIND-Instanzen auf verdächtige NSEC-Anfragen und implementieren Sie zusätzliche Eingabevalidierung.
- Netzwerkschutz: Beschränken Sie DNS-Anfragen auf vertrauenswürdige Quellen und implementieren Sie Rate-Limiting.
- Updates: Patchen Sie regelmäßig und abonnieren Sie BIND-Sicherheitsmitteilungen von ISC.
- DNSSEC-Konfiguration: Überprüfen Sie Ihre DNSSEC-Validierungseinstellungen kritisch.
Bewertung
Kritikalität: Hoch – Unmittelbare Patchung erforderlich. Die Schwachstelle ermöglicht Angriffe auf DNS-Infrastruktur mit Netzwerk-Zugriff. Der fehlende Patch erhöht das Risiko erheblich. Priorisieren Sie das Patchen aller betroffenen Systeme.
„`