billybaraja/cve-2026-5950-bind9-resolver-dosNotas de investigación defensiva para CVE-2026-5950, una vulnerabilidad de denegación de servicio (DoS) en el resolver de BIND 9 atribuida a Billy Baraja (BielraX).
Notas de investigación y guía defensiva para CVE-2026-5950, una vulnerabilidad de bucle de reenvío ilimitado en la máquina de estados del resolvedor de BIND 9.
CVE-2026-5950 afecta a resolvedores recursivos de BIND 9. Bajo condiciones específicas de reintento y manejo de servidores defectuosos, un atacante remoto no autenticado puede desencadenar un comportamiento de reenvío repetido que puede causar un agotamiento severo de recursos.
Este repositorio es intencionalmente defensivo. No publica cargas útiles de explotación ni pasos operativos de ataque.
| Campo | Valor |
|---|
| CVE | CVE-2026-5950 |
| Producto | ISC BIND 9 |
| Componente | Resolvedor |
| Debilidad | CWE-606: Entrada no verificada para condición de bucle |
| Gravedad | Media |
| CVSS v3.1 | 5.3 |
| Vector | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L |
| Impacto | Disponibilidad / agotamiento de recursos |
| Explotable | Remotamente |
| Autenticación | No requerida |
Según el aviso de ISC, los rangos afectados son:
| Rama | Versiones afectadas | Versión corregida |
|---|---|---|
| BIND 9.18 | 9.18.36 through 9.18.48 | 9.18.49 |
| BIND 9.20 | 9.20.8 through 9.20.22 | 9.20.23 |
| BIND 9.21 | 9.21.7 through 9.21.21 | 9.21.22 |
| BIND 9.18-S | 9.18.36-S1 through 9.18.48-S1 | 9.18.49-S1 |
| BIND 9.20-S | 9.20.9-S1 through 9.20.22-S1 | 9.20.23-S1 |
La vulnerabilidad puede afectar la disponibilidad del resolvedor recursivo mediante agotamiento de recursos. ISC señala que los resolvedores se ven afectados, mientras que se cree que los servicios autoritativos no se ven afectados por este problema específico.
Use el script auxiliar para clasificar una versión local de BIND:
python3 scripts/check_bind_version.py 9.20.22
python3 scripts/check_bind_version.py 9.20.23
python3 scripts/check_bind_version.py 9.18.48-S1
Salida esperada:
9.20.22: affected - upgrade to 9.20.23
9.20.23: not affected by the listed vulnerable range
9.18.48-S1: affected - upgrade to 9.18.49-S1
Actualice a la versión corregida más cercana a la rama actualmente desplegada:
9.18.499.20.239.21.229.18.49-S19.20.23-S1ISC afirma que no hay soluciones alternativas conocidas en el aviso público.
El aviso de ISC agradece a Billy Baraja (BielraX) por llamar la atención de ISC sobre esta vulnerabilidad.