Le 21 octobre, les deux grands serveurs DNS libres ont publié des mises à jour de sécurité le même jour : BIND 9.20.30 de l'ISC (version de développement 9.21.27) corrige quatre vulnérabilités de gravité élevée, et Unbound 1.26.2 de NLnet Labs en corrige cinq (1 élevée, 3 moyennes, 1 faible). Si vous exploitez votre propre résolveur récursif ou un DNS faisant autorité sur un VPS, vous êtes concerné ; si le serveur se contente de la configuration de résolution par défaut du système (comme systemd-resolved sous Ubuntu) et n'a ni bind9 ni unbound installé, vous ne l'êtes pas — named -v et unbound -V vous diront si l'un ou l'autre est installé.

BIND : quatre failles de gravité élevée, toutes exploitables à distance

  • CVE-2026-94300 (CVSS 8,1) : rejouer des messages UDP signés en GSS-TSIG peut corrompre la mémoire de named. Un attaquant capable de capturer un message UDP signé auparavant peut le rejouer tant que la clé TSIG négociée reste valide et, en envoyant aussi des requêtes forgées vers une zone qu'il contrôle, pourrait parvenir à exécuter du code à distance. GSS-TSIG est généralement utilisé dans les environnements intégrés à Active Directory.
  • CVE-2026-19630 (CVSS 7,5) : un résolveur traite sans aucune limite les messages DNS entrants présentant une structure particulière, si bien qu'un message malveillant peut épuiser le CPU et la mémoire.
  • CVE-2026-96888 (CVSS 7,5) : un résolveur configuré à la fois avec une zone redirect et qname-minimization strict peut s'arrêter sur un échec d'assertion pendant le traitement de la redirection.
  • CVE-2026-97313 (CVSS 7,5) : un serveur qui autorise la récursion et possède au moins deux zones RPZ — l'une en recursive-only yes, l'autre en recursive-only no — peut s'arrêter sur un échec d'assertion lorsqu'une requête RD=1 est suivie d'une requête RD=0.
  • Versions concernées : 9.11.0 à 9.18.50, 9.20.0 à 9.20.29 et 9.21.0 à 9.21.26 (à partir de 9.16.0 pour 96888 et 97313). Pour les quatre, l'ISC n'indique aucun contournement connu et n'a connaissance d'aucune exploitation active.
  • À noter : la page de téléchargement de l'ISC indique désormais 9.18.50 comme EOL ; la branche 9.18 fait partie des versions touchées, mais les versions corrigées de l'ISC sont uniquement 9.20.30 et 9.21.27. La branche 9.20 est prise en charge jusqu'au deuxième trimestre 2028.

Unbound : la plus grave ne touche que les utilisateurs de DoQ

  • CVE-2026-97206 (élevée, versions 1.22.0 à 1.26.1) : en fonctionnement multithread, un client DNS-over-QUIC (DoQ) distant peut déclencher une migration de chemin QUIC menant à une utilisation après libération et à un plantage. Si vous ne servez pas de DoQ, celle-ci ne vous concerne pas.
  • CVE-2026-109125 (moyenne, empoisonnement de cache) : un canal auxiliaire lié au cache, utilisable pour sonder le port source en amont, n'existe que si unwanted-reply-threshold est réglé au-dessus de 0, ce qui n'est pas la valeur par défaut.
  • CVE-2026-96405 (moyenne) : de nombreux pointeurs de compression chaînés peuvent faire consommer beaucoup de CPU à Unbound ; la 1.26.2 ajoute des limites globales de décompression de 2048 par paquet de réponse amont et de 128 000 par paquet de transfert de zone.
  • CVE-2026-50106 (moyenne) et CVE-2026-35501 (faible) concernent toutes deux la validation DNSSEC lorsqu'un îlot de confiance (island trust anchor) est configuré.

État des distributions (au 26 octobre)

Debian 13 dispose déjà de paquets corrigés : bind9 1:9.20.30-1~deb13u1 et unbound 1.26.2-0+deb13u1. Ubuntu 22.04 et 24.04 fournissent un bind9 de la série 9.18 (9.18.39), et ces CVE sont encore marquées needs-triage ou needed sur les pages d'Ubuntu ; Debian 12 n'est pas encore corrigé non plus. Notez que l'USN-8929-1 d'Ubuntu du 14 octobre corrigeait une série antérieure de failles de BIND, pas ces quatre-là. En attendant les correctifs, restreignez l'accès : n'ouvrez votre résolveur récursif qu'à vos propres serveurs et à votre réseau privé, n'exploitez jamais de résolveur ouvert, et limitez avec un pare-feu les sources autorisées à joindre le port 53 — voir sécuriser un VPS avec ufw et les clés SSH ; si votre serveur est détourné comme relais d'amplification, voir la réponse d'urgence aux attaques CC / DDoS. Si vous voulez simplement faire pointer un domaine vers votre VPS, le DNS hébergé de votre registraire ou de votre fournisseur DNS suffit, inutile d'exploiter le vôtre ; voir faire pointer un domaine vers votre VPS.