[TLP:CLEAR]
bollettino di sicurezza 2026/0252
Aggiornamenti ISC BIND
25-10-2026
isc, bind, dns, memory-corruption, denial-of-service, remote-code-execution
descrizione
ISC ha pubblicato quattro bollettini di sicurezza relativi ad altrettante vulnerabilità del prodotto BIND.Le 4 vulnerabilità analizzate riguardano ISC BIND 9 e si articolano nelle seguenti tipologie:
- Memory corruption e race condition via replay di messaggi GSS-TSIG firmati su UDP, con potenziale esecuzione di codice remoto
- Assertion failure e NULL pointer dereference nel resolver quando configurato con zona redirect e qname-minimization strict
- Resource exhaustion amplificata nel processamento di messaggi DNS inbound con strutture malformate, senza limite imposto da BIND
- Assertion failure in configurazioni RPZ specifiche al ricevimento di query con flag RD alternati
4 CVE hanno priorità operativa critical.
Al momento della pubblicazione di questo bollettino, non risultano CVE nel catalogo CISA KEV, exploit in the wild o proof-of-concept pubblici.
note
Vettori di attacco e condizioni di sfruttamentoTre CVE (CVE-2026-96888, CVE-2026-19630, CVE-2026-97313) condividono il pattern AV:N/AC:L/PR:N/UI:N: sfruttabili via rete, senza privilegi, senza interazione utente, a bassa complessità di attacco. CVE-2026-94300 si distingue per AC:H: l'attaccante deve essere in grado di catturare un messaggio UDP precedentemente firmato con GSS-TSIG e riprodurlo mentre la chiave TSIG negoziata è ancora valida, inviando contestualmente query artigianali verso una zona sotto il proprio controllo.
Analisi delle CVE con priorità operativa critical
CVE-2026-94300 — Il replay di messaggi UDP firmati GSS-TSIG provoca corruzione di memoria in named attraverso una race condition e una double free; la combinazione di replay e query verso una zona controllata dall'attaccante può portare a remote code execution (CVSS 8.1).
CVE-2026-96888 — Un resolver configurato con zona redirect e qname-minimization strict va in abort per assertion failure durante l'elaborazione del redirect; la causa risiede in un NULL pointer dereference o in un'asserzione raggiungibile, con impatto esclusivo sulla disponibilità (CVSS 7.5).
CVE-2026-19630 — Messaggi DNS inbound con strutture particolari innescano elaborazione aggiuntiva senza alcun limite imposto da BIND; un messaggio con un numero elevato di tali strutture causa consumo sproporzionato di CPU e memoria, configurando un amplified resource exhaustion denial of service (CVSS 7.5).
CVE-2026-97313 — Un server BIND ricorsivo che riceve una query con RD=1 seguita da una query non ricorsiva RD=0 può terminare con assertion failure se sono configurate almeno due zone RPZ con impostazioni recursive-only differenti; l'esito è un denial of service (CVSS 7.5).
Scope e impatto
Tutte e 4 le CVE presentano scope unchanged (S:U). CVE-2026-94300 ha impatto C:H/I:H/A:H: potenziale compromissione completa di riservatezza, integrità e disponibilità del componente vulnerabile. Le restanti tre CVE (CVE-2026-96888, CVE-2026-19630, CVE-2026-97313) hanno impatto C:N/I:N/A:H: l'effetto è limitato alla disponibilità del processo named, senza impatto su riservatezza o integrità.
Remediation
ISC ha corretto le quattro vulnerabilità nelle versioni BIND 9.20.30 e 9.21.27. Per BIND Supported Preview Edition la versione corretta è la 9.20.30-S1.
Per le versioni dei rami 9.11, 9.16 e 9.18 (e relative Supported Preview Edition) ISC non indica alcuna versione corretta. ISC rilascia patch solo per le versioni attualmente supportate e classifica il ramo 9.18 come obsoleto.
ISC non indica workaround per nessuna delle quattro vulnerabilità.
CVE
| CVE | CVSS | EPSS | priority | 0-day |
|---|---|---|---|---|
| CVE-2026-94300 | 3.1: 8.1/high | 0.953% | 61.08% | 14.5/critical | no |
| CVE-2026-96888 | 3.1: 7.5/high | 0.461% | 39.69% | 12.0/critical | no |
| CVE-2026-19630 | 3.1: 7.5/high | 0.448% | 38.67% | 11.9/critical | no |
| CVE-2026-97313 | 3.1: 7.5/high | 0.448% | 38.67% | 11.9/critical | no |
NOTA: Le vulnerabilità sono ordinate per priorità operativa, calcolata combinando la gravità teorica (CVSS) con la probabilità reale di sfruttamento (EPSS). Se il dato EPSS non è ancora disponibile, la priorità è calcolata sul solo score CVSS.
Approfondisci
elenco vulnerabilità
| CWE | descrizione |
|---|---|
| CWE-362 | Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') |
| CWE-415 | Double Free |
| CWE-407 | Inefficient Algorithmic Complexity |
| CWE-476 | NULL Pointer Dereference |
| CWE-617 | Reachable Assertion |
prodotti impattati
| vendor | prodotto & versioni |
|---|---|
| ISC |
bind
|