🟠 CVE-2026-12617: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-12617 beschreibt eine kritische Denial-of-Service-Schwachstelle in BIND 9, die zu unerwartetem Programmabsturz des DNS-Resolvers named führt. Die Vulnerability wird durch spezifische Abfragereihenfolgen und verzögerte DNS-Antworten ausgelöst und betrifft mehrere aktuelle BIND-Versionen.

Betroffene Systeme

Folgende BIND 9-Versionen sind vulnerabel:

• 9.18.0 bis 9.18.50
• 9.20.0 bis 9.20.24
• 9.18.11-S1 bis 9.18.50-S1 (Security-Zweig)
• 9.20.9-S1 bis 9.20.24-S1 (Security-Zweig)

Alle DNS-Resolver-Systeme, die auf anfälligen BIND-Versionen basieren, sind betroffen.

Technische Details

Die Schwachstelle wird durch zwei spezifische Szenarien ausgelöst:

Szenario 1 (DNAME/A-Abfrage): Ein Client fragt simultan nach DNAME- und A-Records unterhalb des DNAME ab. Der autorisierte Server antwortet positiv auf die A-Anfrage, verzögert aber die DNAME-Antwort und sendet später eine negative Antwort. Dies führt zu ungültiger Zustandsverarbeitung im Resolver.

Szenario 2 (CNAME/A-Abfrage): Ein Client fragt nach CNAME- und A-Records für identische Namen ab. Der Server antwortet positiv auf die A-Anfrage, verzögert die CNAME-Antwort und sendet später eine selbstreferenzielle CNAME-Antwort (zirkuläre Referenz).

In beiden Fällen führt die Verarbeitung dieser widersprüchlichen und zeitlich versetzten Responses zu einem kritischen Fehler, der den named-Prozess terminiert.

Empfohlene Massnahmen

• Sofort-Massnahme: Überwachen Sie BIND-Prozesse auf unerwartet Neustarts und implementieren Sie automatisches Restart-Management
• Update: Warten Sie auf bereitgestellte Security-Patches und implementieren Sie diese zeitnah
• Workaround: Erhöhen Sie Query-Timeouts und implementieren Sie Rate-Limiting für gleichzeitige CNAME/DNAME-Abfragen
• Monitoring: Überwachen Sie DNS-Query-Muster auf verdächtige CNAME/DNAME-Kombinationen

Bewertung

CVSS 7.5 (High): Die Vulnerability ermöglicht Remote Denial-of-Service ohne Authentifizierung. Der Angriffsvektor ist Netzwerk-basiert und erfordert minimale Komplexität. Die Auswirkungen sind erheblich durch potenzielle DNS-Service-Ausfälle kritischer Infrastruktur.

„`