CVE-2020-8619
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 80 - wyżej niż 80% wszystkich znanych CVE
Streszczenie
W ISC BIND9 w wersjach BIND 9.11.14 -> 9.11.19, BIND 9.14.9 -> 9.14.12, BIND 9.16.0 -> 9.16.3, BIND Supported Preview Edition 9.11.14-S1 -> 9.11.19-S1: Dopóki serwer nazw nie świadczy usług autorytatywnych dla jednej lub więcej stref i co najmniej jedna strefa nie zawiera pustego wpisu nieterminalnego z gwiazdką ("*"), ten defekt nie może wystąpić. Potencjalny atakujący, który ma możliwość zmiany zawartości strefy, mógłby teoretycznie wprowadzić taki rekord, aby wykorzystać ten warunek do spowodowania odmowy usługi, choć uważamy użycie tego wektora za mało prawdopodobne, ponieważ taki atak wymagałby znacznego poziomu uprawnień i byłby łatwy do wyśledzenia.
Ocena ryzyka
Ryzyko polega na możliwości spowodowania odmowy usługi (DoS) poprzez wprowadzenie specjalnie spreparowanego rekordu w strefie, co może zakłócić działanie usług DNS.
Rekomendacja
Zaleca się aktualizację BIND do wersji zawierającej poprawkę oraz ograniczenie uprawnień do zmiany zawartości stref.
Inne podatności w BIND
Zobacz wszystkie- CVE-2026-77692Wysokie
Atakujący może spowodować przerwanie działania named, wysyłając spreparowane żądanie DNS-over-HTTPS z kryptograficznie nieprawidłowym rekordem SIG(0), a następnie przedwcześnie zamykając połączenie transportowe. Problem dotyczy BIND 9 w wersjach 9.20.0–9.20.27, 9.21.0–9.21.25 oraz 9.20.9-S1–9.20.27-S1.
- CVE-2025-13878Wysokie
Nieprawidłowo sformułowane rekordy BRID/HHIT mogą spowodować nieoczekiwane zakończenie działania serwera `named`. Podatność dotyczy określonych wersji BIND 9.
- CVE-2000-0887Średnie
named w BIND 8.2 do 8.2.2-P6 pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez wysłanie żądania kompresowanego transferu strefy (ZXFR) i wykonanie zapytania o rekord autorytatywny, który nie jest buforowany (błąd "zxfr").
- CVE-2000-0888Średnie
named w BIND 8.2 do 8.2.2-P6 pozwala zdalnym atakującym wywołać odmowę usługi poprzez wysłanie rekordu SRV do serwera. Podatność znana jako "srv bug".
- CVE-1999-0024Średnie
Podatność CVE-1999-0024 dotyczy złośliwego ataku na pamięć podręczną DNS poprzez oprogramowanie BIND, wykorzystującego przewidywalne identyfikatory zapytań.
- CVE-2026-97313Wysokie
Rekurencyjny serwer BIND, który otrzyma zapytanie z żądaniem rekurencji (RD=1), a następnie zapytanie nierekurencyjne (RD=0), może zakończyć działanie z błędem asercji, powodując odmowę usługi. Aby wystąpiła podatność, serwer BIND musi zezwalać na zapytania rekurencyjne i mieć skonfigurowane co najmniej dwie strefy RPZ: jedną z domyślnym ustawieniem "recursive-only yes", a drugą z "recursive-only no". Problem dotyczy BIND 9 w wersjach 9.16.0 do 9.18.50, 9.20.0 do 9.20.29, 9.21.0 do 9.21.26, 9.11.3-S1 do 9.18.50-S1 oraz 9.20.9-S1 do 9.20.29-S1.
- CVE-2026-96888Wysokie
Resolver BIND skonfigurowany zarówno ze strefą "redirect", jak i "qname-minimization strict" może przerwać działanie z błędem asercji podczas przetwarzania przekierowania. Problem dotyczy BIND 9 w wersjach 9.16.0 do 9.18.50, 9.20.0 do 9.20.29, 9.21.0 do 9.21.26, 9.16.8-S1 do 9.18.50-S1 oraz 9.20.9-S1 do 9.20.29-S1.
- CVE-2026-94300Wysokie
Odtworzenie podpisanych wiadomości UDP GSS-TSIG może spowodować uszkodzenie pamięci w "named". Atakujący, który przechwyci wcześniej podpisaną wiadomość UDP, może ją odtworzyć, gdy klucz TSIG jest nadal ważny, a także wysyłać spreparowane zapytania do strefy pod swoją kontrolą, co może potencjalnie doprowadzić do zdalnego wykonania kodu.
- CVE-2026-19630Wysokie
W resolverze BIND przychodzące komunikaty protokołu DNS o określonej strukturze powodują dodatkowe przetwarzanie bez nałożonego przez BIND limitu. Komunikat DNS z złośliwie dużą liczbą takich struktur spowoduje, że BIND zużyje nieproporcjonalnie dużo czasu CPU i pamięci podczas przetwarzania. Problem dotyczy BIND 9 w wersjach 9.11.0 do 9.18.50, 9.20.0 do 9.20.29, 9.21.0 do 9.21.26, 9.11.3-S1 do 9.18.50-S1 oraz 9.20.9-S1 do 9.20.29-S1.
- CVE-2026-80274Wysokie
Jeśli resolver BIND wyśle zapytanie do strefy autorytatywnej podpisanej DNSSEC, a serwer autorytatywny odpowie prawidłową odpowiedzią wildcard i podpisanym dowodem NSEC3, a następnie niepodpisanym NSEC o tej samej nazwie właściciela, spowoduje to nieoczekiwane zakończenie programu. Problem dotyczy BIND 9 w wersjach 9.11.0 do 9.18.50, 9.20.0 do 9.20.27, 9.21.0 do 9.21.25, 9.11.3-S1 do 9.18.50-S1 oraz 9.20.9-S1 do 9.20.27-S1.
Oryginalny opis (angielski, źródło NVD)
In ISC BIND9 versions BIND 9.11.14 -> 9.11.19, BIND 9.14.9 -> 9.14.12, BIND 9.16.0 -> 9.16.3, BIND Supported Preview Edition 9.11.14-S1 -> 9.11.19-S1: Unless a nameserver is providing authoritative service for one or more zones and at least one zone contains an empty non-terminal entry containing an asterisk ("*") character, this defect cannot be encountered. A would-be attacker who is allowed to change zone content could theoretically introduce such a record in order to exploit this condition to cause denial of service, though we consider the use of this vector unlikely because any such attack would require a significant privilege level and be easily traceable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS