„`html
Zusammenfassung
CVE-2026-11721 ist eine High-Severity-Schwachstelle in BIND 9, die eine Cache-Poisoning-Attacke ermöglicht. Die Sicherheitslücke erlaubt es Angreifern, manipulierte RRSIG-Records (Resource Record Signature) mit einer geringeren Anzahl von Labels zu versenden. Dies führt dazu, dass der betroffene DNS-Resolver fehlerhafte Wildcard-Namen generiert, was zu einer Kompromittierung des DNS-Caches führt.
Betroffene Systeme
- BIND 9.11.0 bis 9.18.50
- BIND 9.20.0 bis 9.20.24
- BIND 9.21.0 bis 9.21.23
- BIND 9.11.3-S1 bis 9.18.50-S1
- BIND 9.20.9-S1 bis 9.20.24-S1
Besonders kritisch: Systeme mit aktivierter Default-Konfiguration synth-from-dnssec yes; sind anfällig.
Technische Details
Die Schwachstelle basiert auf einer Validierungsschwäche in der DNSSEC-Verarbeitung. Wenn ein Resolver DNSSEC-Synthese aktiviert hat, akzeptiert er RRSIG-Records, deren Label-Anzahl kleiner ist als die der Zone, in der sie enthalten sind. Der Angreifer kann dadurch synthetische Wildcard-Namen erzeugen, die außerhalb seiner autorisierten Zone liegen.
Das Exploit-Szenario:
- Angreifer kontrolliert eine autoritative Zone
- Verschickt RRSIG mit manipulierter Label-Zahl
- Resolver generiert falsche Wildcard-Einträge
- Legitimale DNS-Abfragen werden auf attacker-kontrollierte IPs weitergeleitet
Empfohlene Massnahmen
- Immediate: DNSSEC-Synthese deaktivieren:
synth-from-dnssec no; - Kurz: Auf gepatchte Versionen upgraden (sobald verfügbar)
- Monitoring: DNS-Query-Logs auf verdächtige Wildcard-Anfragen überprüfen
- Validierung: DNSSEC-Validierung mit strengeren Label-Checks durchführen
Bewertung
CVSS 7.5 (High): Netzwerkbasierter Angriff ohne Authentifizierung. Kritisch für öffentliche Resolver und Unternehmens-DNS-Infrastruktur. Sofortige Risikominderung durch Konfigurationsänderung möglich.
„`