Skip to content
Hacker Posts

BIND : trois failles corrigées, dont une corruption mémoire (AVI-1365)

AVI-1365 : trois CVE corrigées dans BIND. CVE-2026-94300 (CVSS 8.1) corrompt la mémoire via GSS-TSIG et peut mener à l'exécution de code ; les deux autres sont des dénis de service.

Publié le 3 min de lecture
cvebindalertednscert-fr

Le CERT-FR a publié le 22 octobre l'avis CERTFR-2026-AVI-1365, qui relaie trois vulnérabilités corrigées par ISC dans BIND le 21 octobre. La plus grave, CVE-2026-94300 (CVSS 8.1), est une corruption mémoire qui peut faire planter named et, selon ISC, mener à une exécution de code à distance. Si vous opérez un résolveur ou un serveur faisant autorité en BIND, planifiez la mise à jour.

Versions affectées et corrigées

Trois branches sont concernées :

  • BIND 9.11.0 à 9.18.50, 9.20.0 à 9.20.29, 9.21.0 à 9.21.26
  • BIND Supported Preview Edition jusqu'aux déclinaisons -S1 correspondantes

Les versions corrigées sont 9.20.30 et 9.21.27 pour les branches principales, et 9.20.30-S1 pour la Supported Preview Edition. ISC recommande de passer au correctif le plus proche de votre version. Aucun contournement n'est connu pour la faille mémoire.

Les trois CVE

  • CVE-2026-94300 — « Concurrent GSS-TSIG messages corrupt memory », CVSS 8.1. Le rejeu de messages signés GSS-TSIG capturés, tant que la clé TSIG négociée reste valide, corrompt la mémoire ; combiné à des requêtes vers une zone contrôlée par l'attaquant, cela peut aboutir à une exécution de code. C'est la seule des trois qui dépasse le simple plantage.
  • CVE-2026-96888 — « named may terminate unexpectedly when a redirect zone is used with strict QNAME minimization », CVSS 7.5. Arrêt du processus, donc déni de service.
  • CVE-2026-97313 — « Specific RPZ configurations and query patterns may result in an unexpected exit », CVSS 7.5. Déni de service également.

Qui est exposé

Le chemin menant à l'exécution de code n'est pas universel : CVE-2026-94300 passe par GSS-TSIG, l'authentification Kerberos des mises à jour dynamiques, typiquement déployée avec une intégration Active Directory. Les serveurs qui n'utilisent pas GSS-TSIG ne sont pas sur ce chemin précis. Les deux dénis de service, eux, dépendent de configurations plus courantes (zones redirect avec QNAME minimization stricte, et RPZ). Ni ISC ni le CERT-FR ne signalent d'exploitation à ce stade.

Que faire

  1. Identifiez vos serveurs BIND et leur version exacte (named -v). Tout ce qui précède 9.20.30 / 9.21.27 / 9.20.30-S1 est concerné.
  2. Mettez à jour vers la version corrigée la plus proche de votre branche actuelle.
  3. Priorisez les serveurs utilisant GSS-TSIG (mises à jour dynamiques authentifiées, intégration AD) : ce sont eux qui portent le risque d'exécution de code, pas seulement de plantage.
  4. Pour les résolveurs, vérifiez vos configurations RPZ et redirect : elles conditionnent l'exposition aux deux dénis de service.

Contexte

Les CVE de déni de service sont la routine côté BIND — un processus named qui s'arrête proprement sur une requête mal formée. Ce qui distingue ce lot, c'est CVE-2026-94300 : une corruption mémoire avec un chemin crédible vers l'exécution de code, rare sur ce logiciel. C'est la vulnérabilité à traiter en premier si votre parc fait de l'authentification GSS-TSIG. Pour les autres, la mise à jour reste de mise, mais l'urgence est celle d'un correctif de disponibilité, pas d'une prise de contrôle.

Articles liés