Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je na serveroch BIND s konfiguráciou autentizácie založenej na TKEY prostredníctvom GSS-API tokenov umožnené spôsobiť nadmernú spotrebu pamäte zasielaním škodlivo vytvorených paketov a vykonať DoS [4].

Zraniteľnosť sa nachádza v produktoch:

• BIND 9; >=9.0.0, <=9.16.50; >=9.18.0, <=9.18.48; >=9.20.0, <=9.20.22; >=9.21.0, <=9.21.21;
• BIND 9 Supported Preview Edition; >=9.9.3-S1, <=9.16.50-S1; >=9.18.11-S1, <=9.18.48-S1; >=9.20.9-S1, <=9.20.22-S1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2026-3039 na cve.org, NVD
• CWE-771: Missing Reference to Active Allocated Resource na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 20. 5. 2026.

Neautentizovanému vzdialenému útočníkovi je umožnené zasielaním špeciálne vytvorenej HTTP/2 prevádzky na koncový bod DNS-over-HTTPS zneužiť zraniteľnosť typu use-after-free, čo môže viesť k narušeniu konzistencie pamäte [5].

Zraniteľnosť sa nachádza v produktoch:

• BIND 9; >=9.20.0, <=9.20.22; >=9.21.0, <=9.21.21;
• BIND 9 Supported Preview Edition; >=9.20.9-S1, <=9.20.22-S1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H

Viac informácií:

• CVE-2026-3593 na cve.org, NVD
• CWE-416: Use After Free na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 20. 5. 2026.

Neautentizovanému vzdialenému útočníkovi je zasielaním špeciálne vytvorených DNS dotazov umožnené vykonať útok DoS na server. Zraniteľné sú systémy, ktoré majú povolenú rekurziu, spracúvajú dynamické aktualizácie (UPDATE), prijímajú oznámenia o zmenách zón (NOTIFY) alebo spracúvajú špecifické internetové typy záznamov (IN-specific) v rámci zón a dát mimo triedy Internet [6].

Zraniteľnosť sa nachádza v produktoch:

• BIND 9; >=9.11.0, <=9.16.50; >=9.18.0, <=9.18.48; >=9.20.0, <=9.20.22; >=9.21.0, <=9.21.21;
• BIND 9 Supported Preview Edition; >=9.11.3-S1, <=9.16.50-S1; >=9.18.11-S1, <=9.18.48-S1; >=9.20.9-S1, <=9.20.22-S1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2026-5946 na cve.org, NVD
• CWE-20: Improper Input Validation na cwe.mitre.org
• CWE-125: Out-of-bounds Read na cwe.mitre.org
• CWE-617: Reachable Assertion na cwe.mitre.org
• CWE-754: Improper Check for Unusual or Exceptional Conditions na cwe.mitre.org
• CWE-843: Access of Resource Using Incompatible Type ('Type Confusion') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 20. 5. 2026.

Neautentizovanému vzdialenému útočníkovi je zaslaním DNS správy s podpisom SIG(0) počas záplavy dotazov umožnené spôsobiť nedefinované správanie v dôsledku súbehu a vykonať DoS [7].

Zraniteľnosť sa nachádza v produktoch:

• BIND 9; >=9.20.0, <=9.20.22; >=9.21.0, <=9.21.21;
• BIND 9 Supported Preview Edition; >=9.20.9-S1, <=9.20.22-S1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2026-5947 na cve.org, NVD
• CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') na cwe.mitre.org
• CWE-416: Use After Free na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 20. 5. 2026.