CVE-2026-94300 – BIND 9: Speicherkorruption mit möglicher Codeausführung
Wiedereingespielte, mit GSS-TSIG signierte DNS-Nachrichten können den Speicher des DNS-Servers BIND beschädigen und im Extremfall das Einschleusen von Code ermöglichen. Mit demselben Update schliesst ISC drei weitere Lücken, die DNS-Server lahmlegen können.
Was ist passiert?
Das Internet Systems Consortium (ISC) hat am 21. Oktober Updates für den weit verbreiteten DNS-Server BIND 9 veröffentlicht. Die schwerwiegendste Lücke betrifft GSS-TSIG – das Verfahren, mit dem DNS-Nachrichten in Kerberos- und Active-Directory-Umgebungen signiert werden:
- CVE-2026-94300 (CVSS 8.1): Hat ein Angreifer eine signierte DNS-Nachricht mitgeschnitten, kann er sie erneut einspielen, solange der ausgehandelte Schlüssel gültig ist. Das beschädigt den Speicher des named-Prozesses; zusammen mit gezielten Anfragen an eine vom Angreifer kontrollierte Zone ist Codeausführung möglich.
- Drei weitere Lücken (je CVSS 7.5): Präparierte DNS-Nachrichten oder bestimmte Abfragemuster können Resolver überlasten oder zum Absturz bringen.
Die Ausnutzung von CVE-2026-94300 ist aufwendig, und ISC sind bisher keine Angriffe bekannt. Workarounds gibt es keine – nur das Update schliesst die Lücken.
Wen betrifft es?
- Unternehmen mit eigenem BIND-DNS-Server: BIND 9.11 bis 9.18.50, 9.20.0 bis 9.20.29 und 9.21.0 bis 9.21.26.
- Besonders exponiert: Umgebungen mit GSS-TSIG, etwa signierte dynamische DNS-Updates im Zusammenspiel mit Active Directory oder Kerberos.
- Resolver: Rekursive DNS-Server, insbesondere wenn sie aus dem Internet erreichbar sind (DoS-Risiko durch die weiteren Lücken).
- Ältere Systeme: Für BIND 9.18 und ältere Versionen gibt es keine korrigierte Version.
Was ist zu tun?
- Updaten: Aktualisiere auf BIND 9.20.30 oder 9.21.27 bzw. spiele das Sicherheitsupdate deiner Linux-Distribution ein.
- Migration planen: Stelle Systeme mit BIND 9.18 oder älter zeitnah auf 9.20 um.
- GSS-TSIG prüfen: Wird es tatsächlich benötigt? Lass dynamische Updates nur aus vertrauenswürdigen Netzen zu (
allow-updatebzw.update-policyrestriktiv konfigurieren). - Angriffsfläche reduzieren: Mach rekursive Resolver nicht aus dem Internet erreichbar und beschränke Abfragen auf interne Netze.
- Überwachen: Untersuche unerwartete Abstürze oder Neustarts von named in den Logs.
Dieses Advisory dient der Information. Für Unterstützung bei der Absicherung deiner DNS-Infrastruktur kontaktiere uns.
Bereit, deine Angriffsfläche zu kennen?
Erzähl uns kurz von deinem Vorhaben. Wir melden uns mit einem konkreten Vorschlag.
Erstgespräch anfragen