🟠 CVE-2026-11605: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-11605 beschreibt eine Ressourcenerschöpfungsschwachstelle in BIND 9, die mit der DNSSEC-Validierung verbunden ist. Die Anfälligkeit ermöglicht es Angreifern, durch manipulierte DNS-Antworten mit überflüssigen RRSIG-Aufzeichnungen erhebliche CPU-Ressourcen zu verbrauchen und damit Denial-of-Service-Szenarien herbeizuführen.

Betroffene Systeme

Die Schwachstelle betrifft folgende BIND 9 Versionen:

• BIND 9.20.0 bis 9.20.24
• BIND 9.21.0 bis 9.21.23
• BIND 9.20.9-S1 bis 9.20.24-S1

Alle Systeme, die diese BIND-Versionen als DNS-Resolver oder autoritäre Nameserver betreiben, sind potentiell gefährdet.

Technische Details

Der Kern der Schwachstelle liegt in der Validierungslogik von DNSSEC. BIND validiert alle in einer DNS-Antwort enthaltenen RRSIG (DNSSEC signature)-Datensätze, unabhängig davon, ob diese für die Authentifizierung notwendig sind. Ein Angreifer kann eine autoritäre Zone so manipulieren, dass sie DNS-Anfragen mit einer großen Anzahl gültiger, aber redundanter RRSIG-Einträge beantwortet.

Der validierender Resolver verschwendet dabei disproportional viel CPU-Zeit auf die unnötige Verarbeitung dieser Signaturen, was zu einer Ressourcenerschöpfung führt. Bei wiederholten Anfragen können dadurch legitime Anfragen nicht mehr verarbeitet werden.

Empfohlene Massnahmen

Sofortmassnahmen:

• Überprüfen Sie Ihre BIND-Version umgehend
• Implementieren Sie Rate-Limiting auf DNS-Anfragen
• Überwachen Sie CPU-Auslastung von DNS-Prozessen

Langfristige Lösungen:

• Sicherheitsupdate auf gepatchte Versionen durchführen, sobald verfügbar
• DNSSEC-Validierung nur bei Bedarf aktivieren
• Implementieren Sie Query-Filtering für verdächtige Antwortmuster

Bewertung

Mit einem CVSS-Score von 7.5 handelt es sich um eine Schwachstelle mit hohem Schweregrad. Der netzwerkbasierte Angriffsvektor ermöglicht externe Angreifer, die Schwachstelle ohne Authentifizierung auszunutzen. Die fehlende Verfügbarkeit von Patches erhöht das Risiko erheblich.

„`