Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] BIND 9 opravuje 9 zraniteľností

BIND 9 opravuje 9 zraniteľností v produktoch BIND 9 a BIND Supported Preview Edition [1][2]. Vybrané najzávažnejšie zraniteľnosti nájdete popísané nižšie, zvyšné na [1]. Produkty a ich opravené verzie [1]: BIND 9 - 9.20.26, 9.21.24 BIND Supported Preview Edition - 9.20.26-S1 Vydania Debianu a ich opravené verzie [3]: trixie (security) - 1:9.20.26-1~deb13u1

BIND 9 - obídenie validácie DNSSEC (CVE-2026-13321)
CVSS 8.6 (High)

Neautentizovanému vzdialenému útočníkovi je vytvorením platne podpísaného NSEC záznamu, ktorého pole "Next Domain Name" odkazuje mimo hraníc zóny, v ktorej bol podpísaný, umožnené obísť DNSSEC validáciu na resolveroch BIND. Útočník ovládajúci podpísanú zónu tak môže sfalšovať autentizovanú odpoveď o neexistencii záznamu pre zónu, nad ktorou nemá kontrolu [4].

Zraniteľnosť sa nachádza v produktoch:

  • BIND 9; >=9.11.0, <=9.18.50; >=9.20.0, <=9.20.24; >=9.21.0, <=9.21.23;
  • BIND 9 Supported Preview Edition; >=9.11.3-S1, <=9.18.50-S1; >=9.20.9-S1, <=9.20.24-S1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 22. 7. 2026.

BIND 9 - obídenie politiky RPZ, pád služby (CVE-2026-11331)
CVSS 8.2 (High)

Neautentizovanému vzdialenému útočníkovi je zaslaním dotazu s dostatočne dlhým menom na resolver BIND používajúci RPZ (Response Policy Zones) s wildcard politikou CNAME umožnené vyvolať chybu NAMETOOLONG a obísť tak dané RPZ pravidlo, prípadne spôsobiť pád služby [5].

Zraniteľnosť sa nachádza v produktoch:

  • BIND 9; >=9.11.0, <=9.18.50; >=9.20.0, <=9.20.24; >=9.21.0, <=9.21.23;
  • BIND 9 Supported Preview Edition; >=9.11.3-S1, <=9.18.50-S1; >=9.20.9-S1, <=9.20.24-S1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L

Viac informácií:

Zraniteľnosť bola verejne oznámená 22. 7. 2026.

BIND 9 - otrávenie cache (CVE-2026-11721)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je na resolveroch BIND s predvoleným nastavením "synth-from-dnssec yes" umožnené vykonať cache poisoning útok pomocou RRSIG záznamu s nesprávnym počtom labelov, na základe ktorého resolver chybne odvodí wildcard záznam cudzej zóny [6][7].

Zraniteľnosť sa nachádza v produktoch:

  • BIND 9; >=9.11.0, <=9.18.50; >=9.20.0, <=9.20.24; >=9.21.0, <=9.21.23;
  • BIND 9 Supported Preview Edition; >=9.11.3-S1, <=9.18.50-S1; >=9.20.9-S1, <=9.20.24-S1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 22. 7. 2026.

Za CESNET, z.s.p.o. Pavla Hlučková dňa 23. 7. 2026.

CESNET, z.s.p.o. Logo