CVE-2025-40778
高已发布
缓存投毒攻击（利用未经请求的资源记录）
- 已发布
- 2025年10月22日
- 已更新
- 2026年2月26日
- 分配 CNA
- isc
- 观察到的证据
- 2026年8月25日
初级CVSS
8.6/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N0.7%
低 · 未来 30 天
- 百分位
- 50.0%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
在某些情况下，BIND 在从应答中接受记录时过于宽松，从而允许攻击者将伪造数据注入缓存。此问题影响 BIND 9 版本 9.11.0 至 9.16.50、9.18.0 至 9.18.39、9.20.0 至 9.20.13、9.21.0 至 9.21.12、9.11.3-S1 至 9.16.50-S1、9.18.11-S1 至 9.18.39-S1，以及 9.20.9-S1 至 9.20.13-S1。
来源
2概念验证，演示通过 BIND 9 中的附加记录注入实现 DNS 缓存投毒，并提供工具来验证和利用 CVE-2025-40778，用于授权安全测试。
概念验证：CVE-2025-40778——通过未经请求的附加区段记录对BIND 9进行DNS缓存投毒
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。