BIND 9 CVE-2026-94300: GSS-TSIG Mesaj Tekrarıyla Bellek Bozulması ve Olası RCE

**152**Mesaj · 10-23-2026, 08:18 AM

Selamlar,

DNS altyapısı yönetenler için önemli bir duyuru: ISC, 21 Ekim 2026'da BIND 9'un named servisinde uzaktan istismar edilebilir bir bellek bozulması açığını duyurdu. CVE-2026-94300, CVSS 3.1 puanı 8.1 (High). Özellikle Active Directory tarzı dinamik DNS güncellemeleri için GSS-TSIG (Kerberos imzalama) kullanan ortamları ilgilendiriyor.

Konuda anlatılacaklar

GSS-TSIG nedir, kısaca?
Açığın senaryosu
Etkilenen ve düzeltilen sürümler
Dağıtım durumu
Kontrol ve sertleştirme adımları

GSS-TSIG kısaca
TSIG, DNS mesajlarını paylaşılan bir anahtarla imzalayarak sunucu-sunucu veya istemci-sunucu iletişimini doğrular. GSS-TSIG ise bu anahtarı Kerberos ile müzakere eder; Windows istemcilerinin kendi kayıtlarını güvenli dinamik güncelleme ile yazması bu yöntemle çalışır. BIND'i AD ile entegre eden kurumlarda tkey-gssapi-keytab veya tkey-gssapi-credential ayarı ile açılır.

Açığın senaryosu
ISC'nin bülteni:

Daha önce imzalanmış bir UDP mesajını yakalayabilen saldırgan, müzakere edilen TSIG anahtarı hâlâ geçerliyken bu mesajı tekrar gönderebiliyor (replay).
Buna ek olarak saldırganın kontrol ettiği bir zone'a özel hazırlanmış sorgular gönderilirse, paylaşılan Kerberos oturum durumu bozulabiliyor.
Sonuç: named sürecinin çökmesi ve/veya olası uzaktan kod çalıştırma.

CVSS vektörü AV:N/AC:H/PR:N/UI:N - ağ üzerinden, yetki gerektirmeden ama yüksek karmaşıklıkla (imzalı mesajı yakalamak gerekiyor). ISC'nin düzeltmesi paylaşılan GSS-TSIG oturumuna erişimi seri hale getiriyor. Açık ISC'nin iç testlerinde bulundu ve OpenAI'dan Dave Aitel tarafından bağımsız olarak da bildirildi. ISC aktif istismar bilmiyor.

Sürümler

Kod:
Etkilenen: 9.11.0 - 9.18.50
           9.20.0 - 9.20.29
           9.21.0 - 9.21.26
Duzeltilen: 9.20.30, 9.21.27 (Preview: 9.20.30-S1)
Gecici cozum: YOK

Dikkat: ISC yalnızca desteklenen sürümleri yamalıyor; 9.18 hattı için listede düzeltme yok. pwn.watch'a göre Debian trixie'de yamalı paket var, Debian bookworm ve Ubuntu ise henüz bekliyor.

Kontrol adımları

Kod:
named -v
# GSS-TSIG acik mi?
grep -REn "tkey-gssapi|tkey-domain" /etc/bind /etc/named* 2>/dev/null
# Debian/Ubuntu paket changelog'unda CVE
apt changelog bind9 2>/dev/null | grep -n "CVE-2026-94300"

Yama gelene kadar risk azaltma
Geçici çözüm olmadığı için bunlar yalnızca saldırı yüzeyini daraltır:

Dinamik güncelleme kabul eden arayüzleri yalnızca iç ağa açın; update-policy ile kimin hangi kayda yazabileceğini daraltın.
GSS-TSIG gerçekten gerekmiyorsa kapatın; gerekiyorsa DNS trafiğinin yakalanabileceği ağ segmentlerini (paylaşımlı L2, misafir Wi-Fi) ayırın.
Yetkili (authoritative) ve özyinelemeli (recursive) rolleri ayrı sunuculara bölün.
named çökmelerini izleyin; systemd yeniden başlatsa bile tekrarlayan çökme bir saldırı denemesinin işareti olabilir.

Kod:
journalctl -u named --since "2026-10-21" | grep -Ei "assert|abort|exiting"

DNS'e yeni başlayanlar için temel kavramları anlatan bir konuyu Başlangıç Rehberi bölümünde paylaşıyoruz.

BIND'i AD ile GSS-TSIG üzerinden entegre eden var mı? Dağıtımınız yamayı yayınladı mı?

Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.

Kaynaklar

BIND 9 CVE-2026-94300: GSS-TSIG Mesaj Tekrarıyla Bellek Bozulması ve Olası RCE

Forum

Topluluk

Yardım