CVE-2026-5950 - BIND 9 Resolver DoS

Forschungsnotizen und Abwehrhinweise zu CVE-2026-5950, einer Schwachstelle mit unbegrenzter Wiederholungsschleife in der Zustandsmaschine des BIND 9 Resolvers.

Übersicht

CVE-2026-5950 betrifft rekursive BIND 9 Resolver. Unter bestimmten Wiederholungs- und Fehlerserver-Bedingungen kann ein entfernter, nicht authentifizierter Angreifer wiederholtes Senden von Paketen auslösen, was zu schwerer Ressourcenerschöpfung führen kann.

Dieses Repository ist bewusst defensiv ausgerichtet. Es veröffentlicht keine Exploit-Payloads oder operative Angriffsschritte.

Wichtige Fakten

Feld	Wert
CVE	CVE-2026-5950
Produkt	ISC BIND 9
Komponente	Resolver
Schwachstelle	CWE-606: Ungeprüfte Eingabe für Schleifenbedingung
Schweregrad	Mittel
CVSS v3.1	5.3
Vektor	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L`
Auswirkung	Verfügbarkeit / Ressourcenerschöpfung
Ausnutzbar	Entfernt
Authentifizierung	Nicht erforderlich

Betroffene Versionen

Laut der ISC-Sicherheitsmeldung sind folgende Versionen betroffen:

Auswirkungen

Die Schwachstelle kann die Verfügbarkeit rekursiver Resolver durch Ressourcenerschöpfung beeinträchtigen. ISC weist darauf hin, dass Resolver betroffen sind, während autoritative Dienste von diesem spezifischen Problem vermutlich nicht betroffen sind.

Abwehrprüfungen

Verwenden Sie das Hilfsskript, um eine lokale BIND-Version zu klassifizieren:

python3 scripts/check_bind_version.py 9.20.22
python3 scripts/check_bind_version.py 9.20.23
python3 scripts/check_bind_version.py 9.18.48-S1

Erwartete Ausgabe:

9.20.22: affected - upgrade to 9.20.23
9.20.23: not affected by the listed vulnerable range
9.18.48-S1: affected - upgrade to 9.18.49-S1

Empfohlene Abhilfemaßnahmen

Führen Sie ein Upgrade auf die nächstgelegene fehlerfreie Version des aktuell eingesetzten Zweigs durch:

9.18.49
9.20.23
9.21.22
9.18.49-S1
9.20.23-S1

ISC gibt an, dass es in der öffentlichen Sicherheitsmeldung keine bekannten Umgehungsmaßnahmen gibt.

Repository-Inhalte

docs/advisory.md - strukturierte Sicherheitsmeldungsnotizen.
docs/detection.md - defensive Versions- und Umgebungsprüfungen.
scripts/check_bind_version.py - sicherer lokaler Versionsklassifizierer.

Danksagung an Forscher

Die ISC-Sicherheitsmeldung würdigt Billy Baraja (BielraX) für das Melden dieser Schwachstelle an ISC.

BIND 9.18	`9.18.36` through `9.18.48`	`9.18.49`
BIND 9.20	`9.20.8` through `9.20.22`	`9.20.23`
BIND 9.21	`9.21.7` through `9.21.21`	`9.21.22`
BIND 9.18-S	`9.18.36-S1` through `9.18.48-S1`	`9.18.49-S1`
BIND 9.20-S	`9.20.9-S1` through `9.20.22-S1`	`9.20.23-S1`

cve-2026-5950-bind9-resolver-dos

Beliebteste