ISC BIND 9 · Divulgada

ISC corrige corrupção de memória no BIND por mensagens GSS-TSIG

20 de out. de 2026 · 1 min de leitura

A ISC corrigiu a CVE-2026-94300, corrupção de memória no named do BIND 9 disparada por mensagens GSS-TSIG concorrentes, as assinaturas usadas em DNS integrado ao Active Directory. As correções cobrem as linhas 9.20 e 9.21, e nenhuma build corrigida foi listada para a linha 9.11 a 9.18. Atualize para 9.20.30 ou 9.21.27, ou 9.20.30-S1, e aplique o DSA-6576-1 no Debian trixie.

Por Redação HIFY Radar Atualizado 26/10/2026 13:17 Receba isso todo dia →← Voltar ao feed 3 fontes

AltaFalhaDivulgadaCorreção parcial

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

A ISC corrigiu a CVE-2026-94300, falha de severidade alta no servidor DNS BIND 9 (named). Ao capturar e reenviar mensagens assinadas, um atacante pode corromper a memória do servidor e, segundo o Debian e a JPRS, potencialmente executar código remotamente e parar o serviço de DNS.

Por que importa

A falha pode interromper a resolução de nomes da empresa e comprometer o servidor DNS, com risco de execução remota de código. Instalações nas linhas antigas 9.11 a 9.18 não receberão correção da ISC, e no Debian bookworm as versões listadas seguem vulneráveis.

O que fazer

Atualize imediatamente para BIND 9.20.30 ou 9.21.27 (ou 9.20.30-S1) e aplique o DSA-6576-1 no Debian trixie. Servidores em 9.11 a 9.18 devem migrar para uma linha com suporte.

Para o time técnico

CVE: CVE-2026-94300
Afetados: ISC BIND 9 (named) · BIND 9.11.0 a 9.18.50; 9.20.0 a 9.20.29; 9.21.0 a 9.21.26; Supported Preview Edition 9.11.3-S1 a 9.18.50-S1 e 9.20.9-S1 a 9.20.29-S1. Debian bookworm: 1:9.18.49-1~deb12u1 e 1:9.18.49-1~deb12u3 vulneráveis; Debian trixie: 1:9.20.26-1~deb13u1 vulnerável.
Exploração: Nenhum relato de exploração, PoC pública ou entrada no KEV citado nas fontes. A ISC classifica a severidade como alta; a JPRS emitiu alerta urgente em 2026/10/22 recomendando atualização imediata.
Correção: BIND 9.20.30; 9.21.27; Supported Preview Edition 9.20.30-S1. Debian trixie: bind9 1:9.20.30-1~deb13u1 (DSA-6576-1); Debian unstable/forky/sid: 1:9.20.30-1. Sem correção para as linhas 9.11 a 9.18: a ISC não lança patches de segurança para séries sem suporte, segundo a JPRS.
Vetor: named (BIND 9). A retransmissão (replay) de mensagens UDP assinadas com GSS-TSIG (RFC 3645) corrompe a memória do named enquanto a chave TSIG negociada ainda é válida; com consultas manipuladas a uma zona controlada pelo atacante, há potencial de execução remota de código (descrição do Debian). A JPRS afirma que não existe mitigação temporária.
Mais detalhes: A ISC lista a data inicial como 2026-10-21. O título do aviso da ISC é 'Concurrent GSS-TSIG messages corrupt memory'; a descrição do Debian detalha o replay de mensagens UDP assinadas com a chave TSIG válida. O DSA-6576-1 do Debian também corrige CVE-2026-19630, CVE-2026-96888 e CVE-2026-97313. A JPRS indica o pacote bind-9.20.30.tar.xz em ftp.isc.org como origem da correção. Linha do tempo: ISC e Debian publicam correções parciais em 2026-10-26; JPRS emite alerta urgente.