BIND 9 CVE-2026-19033: secondary serwuje IXFR przed końcową weryfikacją TSIG — Medium CVSS, ale naruszona integralność DNS

CVE-2026-19033 w BIND 9: secondary może zastosować i serwować attacker-supplied IXFR przed otrzymaniem końcowego TSIG, a brak podpisu nie powoduje pełnego rollbacku. Skutek: naruszona integralność strefy. CVSS to 6.5 (Medium) — ale ten wektor pokazuje, że severity nie oddaje wartości strefy DNS.

CVE-2026-19033 (BIND 9, CVSS 6.5): secondary stosuje/serwuje attacker-supplied IXFR przed końcowym TSIG; brak podpisu nie cofa zmian → naruszona integralność strefy. Brak workaroundu.

Fix: linie 9.20.29 i 9.21.26.

Attack path

attacker-controlled IXFR stream -> secondary zaczyna stosować/serwować dane -> final TSIG verification arrives too late / fails -> brak pełnego rollbacku -> naruszona integralność strefy

Medium severity może chronić Critical asset

CVSS 6.5 nie opisuje wartości biznesowej DNS. Dla stref uwierzytelniających logowanie, pocztę czy ruch produkcyjny integralność strefy może być krytyczna — a tu atakujący wpływa na to, co secondary serwuje klientom. Priorytet powinien uwzględniać rolę DNS, nie sam score (jak w GnuPG: Low, ale wysoka wartość). Brak workaroundu dodatkowo zwiększa znaczenie szybkiego patchowania.

Verification

Po aktualizacji odtwórz przerwany lub błędnie podpisany IXFR i potwierdź, że secondary nie zaczyna serwować danych przed pełną walidacją TSIG. Sprawdź wszystkie secondary i hidden masters. Active exploitation oznaczaj tylko przy wiarygodnym źródle.

Powiązane na blogu

Unbound 1.26.1: dziewięć CVE — DNS i patch completeness
GnuPG: Low, ale wysoka wartość — score ≠ wartość assetu

Źródło

ISC Knowledge Base — CVE-2026-19033 — kb.isc.org

Nota redakcyjna: stan informacji 29 września 2026. CVE-2026-19033 (BIND 9, CVSS 6.5, IXFR serwowany przed końcową weryfikacją TSIG); fix 9.20.29/9.21.26, brak workaroundu. Artykuł nie potwierdza active exploitation.