Средний

Патч

Опубликована

CVE-2026-10822

Key Record using PRIVATEDNS algorithm may lead to unexpected exit

Публикация: 22.07.2026·Обновлена: 02.11.2026, 20:46·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

If BIND encounters a particular invalid data structure in a DNS record, it will accept the invalid data, and may subsequently abort and exit. BIND will first need to store a DNS record for a key (KEY, DNSKEY, etc.). That key must specify a PRIVATEDNS algorithm (253), and in the algorithm identifier, improperly give a length longer than the actual identifier data. The invalid identifier will be stored. If BIND later needs to render that record to text, it will use the invalid length during processing, leading to a consistency check failing. This issue affects BIND 9 versions 9.18.0 through 9.18.50, 9.20.0 through 9.20.24, 9.21.0 through 9.21.23, 9.18.11-S1 through 9.18.50-S1, and 9.20.9-S1 through 9.20.24-S1.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Upgrade to the patched release most closely related to your current version of BIND 9: 9.20.26, 9.21.24, or 9.20.26-S1.

CVE Record: isc ↗

3. Временные меры

No workarounds known.

CVE Record: isc ↗

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

ISC / BIND 9

{
  "status": "affected",
  "version": "9.18.0",
  "versionType": "custom",
  "lessThanOrEqual": "9.18.50"
}

{
  "status": "affected",
  "version": "9.20.0",
  "versionType": "custom",
  "lessThanOrEqual": "9.20.24"
}

{
  "status": "affected",
  "version": "9.21.0",
  "versionType": "custom",
  "lessThanOrEqual": "9.21.23"
}

{
  "status": "affected",
  "version": "9.18.11-S1",
  "versionType": "custom",
  "lessThanOrEqual": "9.18.50-S1"
}

{
  "status": "affected",
  "version": "9.20.9-S1",
  "versionType": "custom",
  "lessThanOrEqual": "9.20.24-S1"
}

isc / bind

{
  "status": "affected",
  "version": "*",
  "versionEndIncluding": "9.18.50",
  "versionStartIncluding": "9.18.0"
}

cpe:2.3:a:isc:bind:*:*:*:*:-:*:*:*

isc / bind

{
  "status": "affected",
  "version": "*",
  "versionEndIncluding": "9.18.50",
  "versionStartIncluding": "9.18.11"
}

cpe:2.3:a:isc:bind:*:*:*:*:supported_preview:*:*:*

isc / bind

{
  "status": "affected",
  "version": "*",
  "versionEndIncluding": "9.20.24",
  "versionStartIncluding": "9.20.0"
}

cpe:2.3:a:isc:bind:*:*:*:*:-:*:*:*

isc / bind

{
  "status": "affected",
  "version": "*",
  "versionEndIncluding": "9.20.24",
  "versionStartIncluding": "9.20.9"
}

cpe:2.3:a:isc:bind:*:*:*:*:supported_preview:*:*:*

isc / bind

{
  "status": "affected",
  "version": "*",
  "versionEndIncluding": "9.21.23",
  "versionStartIncluding": "9.21.0"
}

cpe:2.3:a:isc:bind:*:*:*:*:-:*:*:*

CVSS: оценки и векторы

CVSS 3.1 · cve6.5

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиине нужны

UI · Участие пользователятребуется

S · Область воздействияне меняется

C · Конфиденциальностьнет

I · Целостностьнет

A · Доступностьвысокое

CVSS 3.1 · security-officer@isc.org6.5

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиине нужны

UI · Участие пользователятребуется

S · Область воздействияне меняется

C · Конфиденциальностьнет

I · Целостностьнет

A · Доступностьвысокое

Классы CWE

CWE-617 · Достижимое утверждение CWE-1284 · Неправильная валидация заданного количества во входе

Источники и ссылки

Бюллетень вендора · kb.isc.org · cve Исправление · downloads.isc.org · cve Исправление · downloads.isc.org · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:14:12.808969+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T17:38:28.054157+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T17:38:28.054157+00:00"
  },
  "affected": [
    "cve",
    "nvd"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T17:38:28.054157+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:14:12.808969+00:00"
  },
  "references": [
    "cve",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T17:38:28.054157+00:00"
  },
  "workarounds": [
    "cve"
  ],
  "configurations": [
    "nvd"
  ]
}

Хронология записи

Данные обновлены05.11.2026, 00:14
Данные обновлены04.11.2026, 00:11
Данные обновлены03.11.2026, 00:11
Данные обновлены02.11.2026, 21:07
Данные обновлены02.11.2026, 00:09
Данные обновлены31.10.2026, 11:57
Данные обновлены30.10.2026, 16:33
Данные обновлены29.10.2026, 11:13
Появились сведения об исправлении28.10.2026, 20:38

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2026-13321 DNSSEC Validation Bypass via Out-of-Zone NSEC Next Field ISC / BIND 9 · isc / bind	Высокий	8.6	0,22 %	Патч	22.07.2026
CVE-2026-13204 Unexpected exit in certain situations with NSEC and NSEC3 both present ISC / BIND 9 · isc / bind	Высокий	7.5	0,52 %	Патч	22.07.2026
CVE-2026-10723 Incorrect acceptance of NSEC3 records ISC / BIND 9 · isc / bind	Средний	6.8	0,27 %	Патч	22.07.2026
CVE-2026-11331 Potential wildcard CNAME RPZ policy bypass ISC / BIND 9 · isc / bind	Высокий	7.5	0,43 %	Патч	22.07.2026
CVE-2026-11605 Unnecessary validation of DNSSEC signed records ISC / BIND 9 · isc / bind	Высокий	7.5	0,67 %	Патч	22.07.2026