billybaraja/cve-2026-5950-bind9-resolver-dosNotes de recherche défensive pour CVE-2026-5950, une vulnérabilité DoS du résolveur BIND 9 attribuée à Billy Baraja (BielraX).
Notes de recherche et conseils défensifs pour CVE-2026-5950, une vulnérabilité de boucle de renvoi sans limite dans la machine d'état du résolveur BIND 9.
CVE-2026-5950 affecte les résolveurs récursifs BIND 9. Sous des conditions spécifiques de tentative et de gestion de serveur défaillant, un attaquant distant non authentifié peut déclencher un comportement de renvoi répété pouvant entraîner un épuisement sévère des ressources.
Ce dépôt est intentionnellement défensif. Il ne publie pas de charges utiles d'exploitation ni d'étapes opérationnelles d'attaque.
| Champ | Valeur |
|---|
| CVE | CVE-2026-5950 |
| Produit | ISC BIND 9 |
| Composant | Résolveur |
| Faiblesse | CWE-606: Unchecked Input for Loop Condition |
| Sévérité | Moyenne |
| CVSS v3.1 | 5.3 |
| Vecteur | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L |
| Impact | Disponibilité / épuisement des ressources |
| Exploitable | À distance |
| Authentification | Non requise |
Selon l'avis ISC, les plages affectées sont :
| Branche | Versions affectées | Version corrigée |
|---|---|---|
| BIND 9.18 | 9.18.36 à 9.18.48 | 9.18.49 |
| BIND 9.20 | 9.20.8 à 9.20.22 | 9.20.23 |
| BIND 9.21 | 9.21.7 à 9.21.21 | 9.21.22 |
| BIND 9.18-S | 9.18.36-S1 à 9.18.48-S1 | 9.18.49-S1 |
| BIND 9.20-S | 9.20.9-S1 à 9.20.22-S1 | 9.20.23-S1 |
La vulnérabilité peut affecter la disponibilité du résolveur récursif par épuisement des ressources. ISC note que les résolveurs sont affectés, tandis que les services faisant autorité ne seraient pas concernés par ce problème spécifique.
Utilisez le script d'aide pour classer une version locale de BIND :
python3 scripts/check_bind_version.py 9.20.22
python3 scripts/check_bind_version.py 9.20.23
python3 scripts/check_bind_version.py 9.18.48-S1
Sortie attendue :
9.20.22: affected - upgrade to 9.20.23
9.20.23: not affected by the listed vulnerable range
9.18.48-S1: affected - upgrade to 9.18.49-S1
Mettez à jour vers la version corrigée la plus proche de la branche actuellement déployée :
9.18.499.20.239.21.229.18.49-S19.20.23-S1ISC indique qu'il n'existe aucune solution de contournement connue dans l'avis public.
L'avis ISC remercie Billy Baraja (BielraX) pour avoir porté cette vulnérabilité à l'attention de l'ISC.