CVE-2026-3591
Publiée le 2026-03-25 · Dernière modification le 2026-06-17
Les serveurs DNS BIND 9 (plus précisément les versions 9.20 et 9.21) sont affectés par une faille lors du traitement des requêtes DNS signées. Un attaquant distant authentifié peut envoyer une requête spécialement conçue pour induire le serveur en erreur sur l'identification d'une adresse IP, permettant potentiellement de contourner les listes d'autorisation (« allow lists ») pour obtenir un accès non autorisé. Cette opération est relativement facile à exécuter via le réseau, à condition que l'attaquant dispose déjà d'identifiants de bas niveau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A use-after-return vulnerability exists in the `named` server when handling DNS queries signed with SIG(0). Using a specially-crafted DNS request, an attacker may be able to cause an ACL to improperly (mis)match an IP address. In a default-allow ACL (denying only specific IP addresses), this may lead to unauthorized access. Default-deny ACLs should fail-secure. This issue affects BIND 9 versions 9.20.0 through 9.20.20, 9.21.0 through 9.21.19, and 9.20.9-S1 through 9.20.20-S1. BIND 9 versions 9.18.0 through 9.18.46 and 9.18.11-S1 through 9.18.46-S1 are NOT affected.