BIND 9 : quatre failles corrigées (DSA-6576-1), dont une corruption mémoire GSS-TSIG

L'ISC a publié des correctifs pour BIND 9 ; Debian les a repris le 21 octobre 2026 dans la DSA-6576-1 (Debian 13 uniquement pour l'instant). Quatre failles sont corrigées, dont une corruption mémoire pouvant mener à une exécution de code à distance (CVE-2026-94300, CVSS 8.1) et trois dénis de service (CVSS 7.5).

Qui est concerné ?

Les serveurs DNS named (BIND 9.11 à 9.18.50, 9.20.0 à 9.20.29, 9.21.0 à 9.21.26). CVE-2026-94300 touche les serveurs utilisant GSS-TSIG ; CVE-2026-97313 exige deux zones RPZ (une en « recursive-only yes », l'autre en « no ») ; CVE-2026-96888 exige une zone « redirect » avec « qname-minimization strict ». CVE-2026-19630 touche les résolveurs récursifs.

Risque

CVE-2026-94300 : le rejeu d'un message UDP signé GSS-TSIG peut corrompre la mémoire de named (arrêt du service, exécution de code possible). Les autres failles provoquent un arrêt de named ou une consommation excessive de CPU et de mémoire. L'ISC ne connaît aucun exploit actif et indique qu'il n'y a pas de contournement.

Corriger

État dans Debian (security tracker) : Debian 13 (trixie) corrigé en 1:9.20.30-1~deb13u1 ; Debian 12 (bookworm) toujours « vulnérable » (1:9.18.49-1~deb12u2) pour CVE-2026-94300, CVE-2026-96888 et CVE-2026-97313 ; CVE-2026-19630 à confirmer.

apt update && apt install --only-upgrade bind9 bind9-utils
systemctl restart named
named -v

Contournement

Aucun contournement connu. Limiter les requêtes récursives aux réseaux de confiance (allow-recursion) réduit l'exposition aux dénis de service.

Vérifier

Contrôler la version avec named -v ; sur Plesk, BIND est fourni par le système : appliquer la mise à jour du paquet Debian ci-dessus (aucune entrée Plesk dédiée à ce jour).