LONDON (IT BOLTWISE) – ISC veröffentlicht mit BIND 9.20.29 und 9.21.26 Updates, die insgesamt 14 Sicherheitslücken in seinem DNS-Server beheben. Besonders kritisch ist ein DoH-bezogener Crash: Ein anonymer Absender kann den named-Prozess mit einer ungültigen SIG(0)-Signatur und einer frühzeitig geschlossenen Verbindung zum Absturz bringen. ISC ordnet außerdem mehrere weitere Schwächen ein, die Resolver zum Absturz bringen oder durch CPU- und Speicherlast ausbremsen können. Für Betreiber bedeutet das vor allem: Branchensprünge zeitnah planen und auch ältere EOL-Versionen nicht weiter unpatched lassen.
Die aktuelle BIND-Updatewelle von ISC trifft gleich mehrere Ebenen des DNS-Betriebs: Vom autoritativen Server named über rekursive Resolver bis hin zur DNSSEC-Validierung. Konkret stellt ISC BIND 9.20.29 auf dem stabilen Branch bereit und BIND 9.21.26 auf dem Entwicklungspfad. Beide Releases adressieren die von ISC am 16. September offengelegten 14 Sicherheitslücken; die stabile Linie schließt sie vollständig, während die Entwicklungslinie 13 davon behebt, weil eine bestimmte Schwachstelle (CVE-2026-19662) dort nicht auswirkt. Für Organisationen, die DNS-Software langfristig „wartbar“ halten wollen, ist das mehr als ein Patch-Check: DNS-Infrastruktur ist häufig als Betriebssystem-Komponente eingebettet, und die Frage, wie schnell Updates in Produktionsumgebungen landen, entscheidet über die reale Angriffsfläche.
Der auffälligste Punkt in den Advisory-Details ist die DoH-Schwachstelle CVE-2026-77692. Laut Beschreibung genügt ein einzelnes DoH-Request ohne gültige Credentials: Ein Absender mit einer ungültigen SIG(0)-Signatur kann den named-Prozess zum Absturz bringen, wenn die Verbindung geschlossen wird, bevor named die Signaturprüfung vollständig abgeschlossen hat. Technisch betrachtet ist das ein klassisches „Race-to-complete-validation“-Risiko: Die Signaturprüfung läuft, aber der Netzwerk-Thread bzw. der Request-Lifecycle bricht frühzeitig ab, wodurch ein Fehlerpfad getriggert wird. Genau deshalb gilt die Meldung als besonders relevant für jeden, der DNS-over-HTTPS in der eigenen Edge- oder Service-Schicht anbietet und dabei mehrere Endpunkte oder Frontends bündelt.
Neben dem DoH-Crash benennt ISC mehrere weitere Schwächen, die weniger den direkten Zugriff auf named adressieren, sondern die Verarbeitungslogik rekursiver Resolver beeinflussen. Zwei Lücken können laut Beschreibung bereits durch eine einzelne Anfrage ausgelöst werden, ohne dass der Angreifer einen eigenen DNS-Server betreiben muss; in dieser Gruppe fällt auch CVE-2026-76163 auf, die einen Crash bei TKEY-Anfragen auslöst, sobald in named.conf kein global options-Block vorhanden ist. Für andere Fälle braucht es einen rekursiven Resolver, der „zusammenhängende“ Antworten von einem Angreifer-lenkierten Server verarbeitet. Besonders drastisch ist hier CVE-2026-80274: Ein Validierungsresolver kann bei einem Wildcard-Szenario mit einem Set, das sowohl NSEC3- als auch „unsigned NSEC“-Beweise auf derselben Namensposition trägt, zum Absturz oder zu fehlerhaften Antworten bis hin zu SERVFAIL bzw. falschen Denial-Records geführt werden.
Damit nicht genug: ISC beschreibt auch Schwächen, die nicht primär crashen, sondern Resolver-Ressourcen verbrauchen. Dazu gehören CPU- oder Speicherexhaustions, darunter zwei Fälle rund um gecachte SVCB/HTTPS-Alias-Records (CVE-2026-81563 und CVE-2026-81736). Im ersten Fall kann der Cache über ein Limit hinauswachsen, bis die Auflösung insgesamt fehlschlägt; im zweiten Fall geht es um CPU-Exhaustion, wenn ein Client Rekursion erlaubt und gleichzeitig ein Angreifer eine passende Zone bereitstellt, die wiederum in eine gecachte SVCB/HTTPS-Aliasstruktur einfließt. Ergänzend nennt ISC weitere Medium-Lücken, die Validatoren und Resolver stärker belasten können, etwa durch spezielle Zonen- oder Antwortstrukturen. Für Betreiber ist das wichtig, weil ein solcher „nicht-herunterfahrender“ Fehler in der Praxis häufig als Verfügbarkeitsthema endet: Latenz steigt, Timeouts häufen sich, und Observability misst zwar Symptome, aber nicht automatisch die Ursachen im Datenpfad.
Am kritischsten für Integrität statt Verfügbarkeit sind jedoch die vier Lücken, die DNS-Daten bzw. DNSSEC-bezogene Annahmen betreffen. ISC ordnet zwei davon als Cache-Poisoning durch fehlerhafte DNSSEC-Beweise ein: Mit CVE-2026-19941 kann ein signierter NSEC-Record aus einer nicht zusammenhängenden Zone als Beweis akzeptiert werden, dass kein Wildcard existiert; bei CVE-2026-77119 kann ein signierter NSEC3-Record aus einem „anderen“ Geschwisterkontext fälschlich die Unsicherheit einer Delegation belegen. In beiden Fällen genügt nicht „irgendeine“ Manipulation: Es geht um das Zusammenspiel aus Angreifersteuerung (etwa bei signierten Zonen oder als On-path- bzw. Forwarder-Szenario) und dem Validierungsmechanismus, der dann eine forged NXDOMAIN- oder delegationsbezogene Antwort als korrekt akzeptieren kann. Zusätzlich nennt ISC CVE-2026-19033, wo bei sekundären Servern ein inkrementeller Transfer (IXFR über TCP) so laufen kann, dass named bereits neue Zoneninhalte serviert, bevor die finale signierte Nachricht ankommt; fehlt diese Signatur, erfolgt laut Beschreibung kein Rollback.
Die praktische Relevanz hängt dabei stark von der Versionslandschaft ab. ISC stellt zwar keine generischen Workarounds für die 14 Punkte bereit, rät aber implizit zu einer schnellen Aktualisierung, weil ältere „EOL“-Versionen als weiter verwundbar angenommen werden sollen. Für die 9.18er Linie gilt: ISC habe den Support zum Ende Juni beendet und listet keine 9.18-Veröffentlichung, die die Lücken schließt. Gleichzeitig wird in der Meldung darauf hingewiesen, dass OS-Pakete ein eigenes Thema sind: Beispielhaft wird genannt, dass Debian 12 auf einer BIND-Variante basieren kann, für die der Sicherheits-Tracker zum genannten Zeitpunkt die neuen CVEs noch nicht gelistet hatte. Auch wenn das kein Freifahrtschein ist, zeigt es die typische Hürde im Betrieb: Security-Informationen kommen in unterschiedlichen Taktungen in Distributionen an, während angreifbare Dienste oft sofort erreichbar bleiben.
Interessant ist außerdem der Blick auf den Status der Ausnutzung und die Qualität der Tests. ISC schreibt, es sei keine aktive Ausnutzung der 14 Lücken bekannt; gleichzeitig sind laut ISC Reproduktionstests öffentlich zugänglich, etwa als Bestätigung, dass der Fix das konkrete Trigger-Verhalten stoppt. ISC betont zudem, dass die Einordnung als „largest“ Security-Release in diesem Jahr erfolgt: nach zuvor kleineren Paketen (Januar, März, Mai, Juli) kommt nun ein Block, der für viele Betreiber „endlich“ genug Stoff liefert, um Wartungsfenster zu begründen und Paketketten sauber zu modernisieren. Ein zusätzlicher Kontext, der in der Meldung anklingt: ISC weist darauf hin, dass sich der Rhythmus der monatlichen Sicherheitswartung ab 2026 verändert habe, getrieben durch die Vielzahl von gemeldeten Schwachstellen aus Forschung und Angriffskontexten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BIND 9.20.29 und 9.21.26 schließen 14 Sicherheitslücken – DoH-Kerncrash eingeschlossen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BIND 9.20.29 und 9.21.26 schließen 14 Sicherheitslücken – DoH-Kerncrash eingeschlossen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BIND 9.20.29 und 9.21.26 schließen 14 Sicherheitslücken – DoH-Kerncrash eingeschlossen« bei Google Deutschland suchen, bei Bing oder Google News!