BIND 9 - CVE-2026-3039

Il s'agit d'une vulnérabilité dans le mécanisme de négociation TKEY via GSS-API de BIND 9.

BIND 9 (Berkeley Internet Name Domain) est un serveur DNS open source maintenu par l'ISC. Il assure la résolution de noms de domaine, la gestion de zones autoritaires et la résolution récursive. Il constitue le démon DNS le plus répandu sur les systèmes Linux et Unix, et est intégré nativement dans les distributions majeures (RHEL, Debian, Ubuntu). Il est fréquemment déployé en environnement Active Directory comme résolveur interne ou serveur DNS intégré.

Lors du traitement de paquets malformés envoyés à un serveur configuré pour utiliser l'authentification GSS-API/TKEY, le processus named alloue de la mémoire sans la libérer par la suite. L'absence de toute exigence d'authentification préalable (PR:N) et la faible complexité de l'attaque (AC:L) permettent à un attaquant distant de cibler tout serveur BIND exposé avec cette configuration. La configuration concernée est typique des déploiements Active Directory intégrés et des environnements Kerberos.

Elle permet de provoquer un déni de service à distance par épuisement de la mémoire du processus named jusqu'à son arrêt.