ISC BIND: Denial of Service über TKEY-Abfragen

Zusammenfassung

ISC BIND 9 ist die DNS-Serversoftware named, die als autoritativer und rekursiver DNS-Server eingesetzt wird. Ein entfernter Angreifer ohne Authentifizierung kann manipulierte TKEY-Abfragen senden, die einen REQUIRE-Assertionsfehler auslösen und dazu führen, dass named beendet wird. Die Namensauflösung steht danach still, bis der Dienst neu gestartet wird. Die Schwachstelle wird aktiv ausgenutzt, öffentlicher Exploit-Code existiert, und ACLs verhindern die Exponierung nicht.

Betroffen

• ISC BIND 9 ab 9.1.0 (einschliesslich) bis 9.9.7-P1
• ISC BIND 9.10.x bis 9.10.2-P2
• Hinweis: Die CPE-Angaben nennen Juniper Junos. Die Schwachstelle liegt in ISC BIND, das Junos mitliefert. Betroffene Junos-Versionen: unbekannt.

Behoben in

• ISC BIND 9.9.7-P2
• ISC BIND 9.10.2-P3
• Patches der Distributionen: Red Hat RHSA-2015:1513, Debian DSA-3319
• Behobene Junos-Versionen: unbekannt. Das Juniper-Bulletin prüfen.

Umgehung

• Kein offizieller Workaround. ACLs und Konfigurationsoptionen verhindern die Exponierung nicht.
• Nicht verifizierte Übergangslösung aus einer Sekundärquelle: TKEY-Abfragen einschränken oder deaktivieren, bis ein Patch möglich ist.

Ausnutzung

• Im CISA-Katalog der bekanntermassen ausgenutzten Schwachstellen aufgeführt: aufgenommen am 2026-10-08, Frist 2026-10-11
• In der CISA-Advisory AA26-281A als erfolgreich ausgenutzte Schwachstelle genannt
• Öffentlicher Exploit-Code und ein Metasploit-DoS-Modul sind verfügbar
• Keine Authentifizierung nötig; eine einzelne manipulierte Abfrage genügt

Unsere Empfehlung

• Alle BIND-Server identifizieren und die named-Version prüfen.
• Auf eine aktuell unterstützte BIND-Version aktualisieren. Die Fixes 9.9.7-P2 und 9.10.2-P3 sind nur ein Minimum, da die Zweige 9.9 und 9.10 laut Sekundärquelle nicht mehr unterstützt werden.
• Die Exponierung des DNS-Ports 53 einschränken und named auf unerwartete Abbrüche überwachen.
• Junos-Geräte anhand des Juniper-Bulletins prüfen.
• Jede ungepatchte Instanz von BIND 9.1.0 bis 9.10.2-P2 prioritär behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (7 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  robertdavidgraham/cve-2015-5477 · elceef/tkeypoc · hmlio/vaas-cve-2015-5477 · knqyf263/cve-2015-5477 · ilanyu/cve-2015-5477
• Metasploit-Modul auxiliary/dos/dns/bind_tkey
• Exploit-DB EDB-ID 37723 05.08.2015
• Exploit-DB EDB-ID 37721 01.08.2015

Quellen der Recherche

• ISC advisory AA-01272 kb.isc.org
• CISA advisory AA26-281A www.cisa.gov
• CISA Known Exploited Vulnerabilities catalog (filtered view) www.cisa.gov
• Openwall oss-security advisory mirror www.openwall.com
• Debian DSA-3319 www.debian.org
• Red Hat RHSA-2015:1513 rhn.redhat.com
• Juniper JSA10783 kb.juniper.net
• NVD entry CVE-2015-5477 nvd.nist.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:44.