CVE-2026-5950 - BIND 9 解析器拒绝服务

研究笔记和针对 CVE-2026-5950 的防御指导，该漏洞是 BIND 9 解析器状态机中的无限制重发循环漏洞。

概述

CVE-2026-5950 影响递归 BIND 9 解析器。在特定的重试和坏服务器处理条件下，远程未认证攻击者可能触发重复的重发行为，从而导致严重的资源耗尽。

此仓库特意是防御性的。它不发布漏洞利用载荷或操作性攻击步骤。

关键事实

受影响版本

根据 ISC 公告，受影响范围如下：

影响

该漏洞可能通过资源耗尽影响递归解析器的可用性。ISC 指出，解析器受到影响，而权威服务据信不受此特定问题影响。

防御检查

使用辅助脚本检查本地 BIND 版本：

python3 scripts/check_bind_version.py 9.20.22
python3 scripts/check_bind_version.py 9.20.23
python3 scripts/check_bind_version.py 9.18.48-S1

预期输出：

9.20.22: affected - upgrade to 9.20.23
9.20.23: not affected by the listed vulnerable range
9.18.48-S1: affected - upgrade to 9.18.49-S1

推荐修复措施

升级到当前部署分支对应的最近修复版本：

• 9.18.49
• 9.20.23
• 9.21.22
• 9.18.49-S1
• 9.20.23-S1

ISC 声明，公开公告中没有已知的变通方法。

仓库内容

• docs/advisory.md - 结构化的公告笔记。
• docs/detection.md - 防御性版本与环境检查。
• scripts/check_bind_version.py - 安全的本地版本分类器。

研究人员致谢

ISC 公告感谢 Billy Baraja (BielraX) 将此漏洞报告给 ISC。

参考文献

• ISC公告: CVE-2026-5950
• NVD: CVE-2026-5950
• CVE记录: CVE-2026-5950