BIND : trois failles DNS, des configurations à distinguer
Le CERT-FR publie un avis BIND. Les fiches NVD décrivent des conditions précises : GSS-TSIG, zone redirect et règles RPZ. Vérifiez votre serveur, pas seulement son numéro.
Pour aller plus loin
Image générée · SecuFocus
En bref
L’essentiel
Vous administrez un serveur DNS BIND ? L’avis du CERT-FR du 22 octobre demande d’appliquer les correctifs de l’éditeur. Les trois fiches NVD décrivent des chemins différents vers une corruption mémoire ou un arrêt du service. Un DNS utilisé sur votre ordinateur ne signifie pas que vous administrez vous-même ce logiciel.
Trois CVE ne décrivent pas une seule attaque
Pour CVE-2026-94300, NVD décrit la répétition de messages UDP signés GSS-TSIG, capturés auparavant, pendant que la clé négociée reste valide. Avec des requêtes préparées vers une zone contrôlée par l’attaquant, la corruption mémoire pourrait permettre une exécution de code à distance. Ce n’est pas l’affirmation que toute requête DNS suffit.
CVE-2026-96888 concerne un résolveur configuré à la fois avec une zone redirect et qname-minimization strict. Le traitement d’une redirection peut alors provoquer un arrêt sur assertion.
CVE-2026-97313 demande un serveur récursif avec au moins deux zones RPZ : l’une avec recursive-only yes, l’autre avec recursive-only no. Une séquence de requêtes avec et sans récursion peut provoquer un arrêt du service. Ne confondez pas ces conditions avec celles de la première faille.
Les bornes publiées ne couvrent pas toutes les branches
Le CERT-FR cite les bornes 9.20.30 et 9.21.27 pour BIND, ainsi que 9.20.30-S1 pour Supported Preview Edition. Les descriptions NVD incluent aussi des versions de la branche 9.18 jusqu’à 9.18.50 ; l’avis CERT-FR lu ici ne donne pas de correctif 9.18. Ne déduisez pas de cette absence que cette branche est sûre.
Les trois fiches NVD ne fournissent pas encore de configurations CPE dans les réponses lues. Les conditions ci-dessus viennent de leurs descriptions. Un inventaire qui s’appuie seulement sur les CPE peut donc manquer ces informations. Pour un paquet de distribution, cherchez le bulletin et le numéro complet du paquet corrigé correspondant à votre système.
Faire intervenir le responsable du DNS
Si vous maintenez BIND, relevez sa branche et les fonctions configurées, puis appliquez le correctif approprié par votre circuit de maintenance. Après l’intervention, vérifiez la version réellement en service et la résolution DNS attendue. Gardez une copie de la configuration et un moyen de reprise avant de changer le service.
Si le résolveur appartient à votre fournisseur d’accès, à un service DNS ou à votre organisation, la correction relève de cet opérateur. Changer un réglage du navigateur ne met pas à jour son serveur. Les sources citées n’établissent pas ici une exploitation active, et SecuFocus n’a pas reproduit ces failles.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.