LONDON (IT BOLTWISE) – Der Internet Systems Consortium (ISC) veröffentlicht BIND 9.20.29 und 9.21.26, um vierzehn Sicherheitslücken in seinem DNS-Server zu schließen. Besonders kritisch ist ein DoH-Absturz: Ein Angreifer ohne Credentials kann den Serverprozess named mit einer einzigen ungültigen SIG(0)-Anfrage zum Absturz bringen, wenn die Verbindung vor der Signaturprüfung beendet wird. ISC sieht derzeit keine aktiven Ausnutzungen, nennt aber zahlreiche reproduzierbare Triggerbedingungen. Für Betreiber bedeutet das vor allem: Updates auf den passenden Wartungsstand einplanen und die betroffenen DoH- sowie Resolver-Setups prüfen.
Das Internet Systems Consortium (ISC) hat zwei neue Wartungsreleases für BIND 9 veröffentlicht: BIND 9.20.29 (stable) und BIND 9.21.26 (development). In Summe adressieren beide Releases vierzehn Sicherheitslücken, die ISC am 16. September in BIND 9 offengelegt hat. Für Betreiber ist dabei weniger die Zahl entscheidend als die Bandbreite der Auswirkungen: Neben klassischen Crashes des Prozesses „named“ geht es auch um das Verhalten rekursiver Resolver unter Last oder bei validierenden DNSSEC-Pfadeingriffen.
Eine der auffälligsten Schwachstellen betrifft DNS-over-HTTPS (DoH). Mit der CVE-2026-77692 kann ein Absender ohne formale Berechtigungen eine einzelne DoH-Anfrage senden, die eine ungültige SIG(0)-Signatur enthält. Wenn der Absender die Verbindung schließt, bevor „named“ die Signaturprüfung abschließt, kann der Serverprozess abstürzen. ISC ordnet diese Lücke als High ein (CVSS 3.1: 7,5) und macht damit klar, dass es sich nicht um einen rein theoretischen Fehler in selten genutzten Codepfaden handelt, sondern um ein realistisch erreichbares Trigger-Problem bei DoH-Antworten.
Daneben existiert mit CVE-2026-76163 eine weitere High-Lücke, die ebenfalls ohne „eigene“ DNS-Serveranforderung getriggert werden kann: Eine TKEY-Anfrage kann „named“ zum Absturz bringen, wenn die BIND-Konfiguration im Abschnitt named.conf keinen globalen options-Block enthält. Die verbleibenden Crash-Szenarien setzen typischerweise darauf, dass ein rekursiver Resolver (also ein Server, der Namen für Clients nachschlägt) von einem Angreifer mit gezielt präparierten DNS-Daten versorgt wird. So kann etwa ein einzelnes konstruiertes Antwortpaket einen Resolver zum Absturz bringen oder zu einer falschen Fehlerreaktion wie SERVFAIL führen; besonders relevant sind hierbei Konfigurationen mit dns64 und break-dnssec yes sowie Validierungsszenarien, in denen Wildcard-Antworten eine Kombination aus NSEC- und NSEC3-Beweisen tragen (CVE-2026-80274 und CVE-2026-19666).
Wichtig ist auch, dass nicht alle Probleme „nur“ zum Absturz führen: Vier der Lücken drehen sich um CPU- oder Speicherbeanspruchung. Bei CVE-2026-81563 und CVE-2026-81736 wächst der Cache eines Resolver-Setups über Grenzen hinaus, wenn die rekursive Verarbeitung über SVCB/HTTPS-Alias-Records (also die Weiterentwicklung von Service-Informationen über DNS) wiederholt auf einen attacker-gesteuerten Alias-Tree trifft. Zwei weitere Mittelwert-Lücken zielen auf CPU-Exhaustion in einem validierenden Resolver durch Zonen mit vielen Key-Tags ohne passenden Match (CVE-2026-19668) sowie auf Speicherverbrauch außerhalb konfigurierte Limits, wenn eine Abfolge wiederholt denselben SOA-, CNAME- oder DNAME-Eintrag liefert (CVE-2026-75029). Aus Sicherheits- und Betriebs-Sicht heißt das: Auch wenn ein Crash ausbleibt, kann ein Resolver so stark verlangsamt oder destabilisiert werden, dass Clients Zeitüberschreitungen und Retry-Stürme erleben.
Neben Verfügbarkeitsrisiken adressieren die Updates außerdem vier Medium-Lücken, bei denen es um Integrität von DNS-Daten geht. In zwei Fällen geht es um Cache-Poisoning via DNSSEC-Beweispfade: CVE-2026-19941 beschreibt, wie ein signierter NSEC-Eintrag aus einer anderen Zone als Beweis dafür „durchgehen“ kann, dass es ein Wildcard-Ergebnis nicht gibt; CVE-2026-77119 macht das für NSEC3-Varianten in verwandten Delegationskontexten möglich. Danach steht im Kern die gleiche Idee: Ein Angreifer, der Antworten einschleusen kann (etwa durch Kontrolle einer signierten Zone oder als On-Path-Akteur bzw. böswilliger Forwarder), kann versuchen, eine gefälschte NXDOMAIN- oder Delegations-Interpretation als korrekt DNSSEC-validiert in den Cache schreiben zu lassen. Zusätzlich betrifft CVE-2026-19033 sekundäre Server: Während eines mehrteiligen IXFR-Transfers (inkrementelles Zonen-Update über TCP) kann „named“ neue Zonendaten schon anbieten, bevor die finale Nachricht mit der TSIG-Signatur eingetroffen ist, und rollt nicht zurück, wenn diese Signatur ausbleibt.
Für die praktische Umsetzung sind vor allem die Release-Zuordnungen wichtig: BIND 9.20.29 behebt laut ISC alle vierzehn Lücken auf dem stable-Zweig. BIND 9.21.26 behebt dreizehn im development-Zweig, weil CVE-2026-19662 dort nicht betroffen ist. Unterstützte Kunden mit der Supported Preview Edition 9.20.29-S1 erhalten ebenfalls alle vierzehn Fixes. Zusätzlich betont ISC, dass ältere 9.18-Versionen bis einschließlich 9.18.50 von zwölf der vierzehn Lücken betroffen sind; da ISC den Support für 9.18 zum Ende Juni beendet hat, bleibt dort nur der Wechsel auf einen aktuellen Branch. Operative Details wie „Debian 12 liefert eine Paketbasis rund um 9.18.49“ ändern nichts am Risiko, zeigen aber, dass Patch-Geschwindigkeit im Umfeld von Distributions-Backports variieren kann.
ISC ordnet die Ausnutzbarkeit in den veröffentlichten Advisories vorsichtig ein: In den Mitteilungen heißt es, es sei keine aktive Ausnutzung der vierzehn Lücken bekannt. Dennoch liefert ISC nicht nur Fixes, sondern auch reproduzierbare Tests: Die BIND-Quellbasis von 9.20.29 enthält system tests für mindestens sechs der vierzehn Lücken, darunter ein Test, der eine ungültige SIG(0)-Anfrage über DoH sendet, die Verbindung vorzeitig schließt und prüft, ob „named“ stabil bleibt. Ergänzend bleibt die Update-Logik ein Thema für Teams: ISC hatte im Mai angekündigt, dass Nutzer im weiteren Verlauf 2026 mit Sicherheitsfixes in jedem monatlichen BIND-Maintenance-Release rechnen sollten. Für DNS-Betriebsteams heißt das konkret, Patching nicht auf „geplante große Versionen“ zu verschieben, sondern Wartungsfenster so zu designen, dass auch Sicherheits-Hotfixes innerhalb des laufenden Branch-Planwerks schnell eingespielt werden.
Wenn Sie DoH-Endpunkte betreiben oder rekursive Resolver mit DNSSEC-Validierung, dns64 oder besonderen SVCB/HTTPS-Konfigurationen im Einsatz haben, sollten Sie im nächsten Schritt die betroffenen Komponenten mit den genannten CVE-Nummern abgleichen und die Upgrade-Pfade gegen Ihre Betriebsanforderungen testen. Besonders der DoH-Absturz (CVE-2026-77692) ist ein Kandidat, der direkt die Verfügbarkeit beeinflusst, weil er ohne Credentials und mit einer einzelnen Anfrage angreifbar sein kann. Gleichzeitig lohnt sich ein zweiter Blick auf Cache- und Beweis-Integritätsthemen: Auch wenn es „nur“ Medium-Scores sind, können sie je nach Topologie und Resolver-Rolle zu unerwünschten Antwortinterpretationen führen. So wird aus einem reinen Software-Update ein Belastungstest für Ihre DNS-Sicherheitsarchitektur – von Monitoring und Failover bis hin zu den Grenzen, die ein Resolver unter realem Traffic einhält.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BIND 9-Update behebt 14 Sicherheitslücken – DoH-Absturz zählt zu den schlimmsten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BIND 9-Update behebt 14 Sicherheitslücken – DoH-Absturz zählt zu den schlimmsten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BIND 9-Update behebt 14 Sicherheitslücken – DoH-Absturz zählt zu den schlimmsten« bei Google Deutschland suchen, bei Bing oder Google News!