إصلاحات تسميم الذاكرة المؤقتة في BIND 9 على ديبيان: DSA-6033-1 (CVE-2025-40778 وCVE-2025-40780)

أصدرت ديبيان في 23 أكتوبر 2025 النشرة DSA-6033-1 لحزمة bind9 على ديبيان 12 (bookworm) وديبيان 13 (trixie). عالجت النشرة ثلاث ثغرات كشفت عنها ISC في اليوم السابق: اثنتان قد تسمحان للمهاجم بزرع سجلات مزوّرة في الذاكرة المؤقتة للمحلِّل، وثالثة قد تستنزف المعالج. ولخّصت ديبيان الأثر بأنه احتمال تسميم الذاكرة المؤقتة أو حجب الخدمة.

أي نظام حُدّث منذ ذلك الحين يحتوي هذه الإصلاحات، كما بُنيت عليها تحديثات BIND اللاحقة. الغرض من هذه المقالة مساعدتك في فحص المحلِّلات القديمة أو التي بقيت طويلًا دون تحديث، وفهم سبب تكرار ثغرات تسميم الذاكرة المؤقتة في نشرات DNS.

نظرة سريعة

ما هي هذه الثغرات؟

تتعلق الثلاث بعمل BIND محلِّلًا (resolver). وتذكر ISC أن الخدمة الموثوقة (authoritative) وحدها يُعتقد أنها غير متأثرة، لكنها تنبّه إلى أن الخوادم الموثوقة ترسل أحيانًا استعلامات تكرارية، لذا افحص إعداداتك بدل الافتراض.

تسميم الذاكرة المؤقتة (الدرجة 8.6 لكل منهما)

• CVE-2025-40778: في ظروف معيّنة كان BIND متساهلًا أكثر من اللازم في قبول السجلات الواردة في الإجابات، فيستطيع المهاجم حقن بيانات مزوّرة في الذاكرة المؤقتة، وقد تؤثر هذه السجلات في تحليل الاستعلامات اللاحقة.
• CVE-2025-40780: ضعف في مولّد الأرقام شبه العشوائية الذي يستخدمه BIND جعل من الممكن، في ظروف محددة، توقّع منفذ المصدر ومعرّف الاستعلام للاستعلامات الصادرة. وهاتان القيمتان هما ما يصعّب انتحال الإجابات، فإذا أمكن توقعهما فقد تُخزَّن إجابات مزوّرة.

استنزاف المعالج (الدرجة 7.5)

• CVE-2025-8677: الاستعلام عن سجلات داخل منطقة مصمَّمة خصيصًا تحتوي سجلات DNSKEY مشوّهة بطريقة معيّنة قد يستنزف المعالج ويحجب الخدمة عن العملاء الشرعيين.

لم تذكر ISC أي حلول التفافية، وقالت إنها لا تعلم بوجود استغلال فعلي. ولا توجد أي من الثغرات الثلاث في فهرس CISA للثغرات المستغلة فعليًا (نسخة 30 أكتوبر 2026). غير أن تقييم CISA المضاف إلى سجل CVE-2025-40778 يصنّف حالة الاستغلال بأنها "poc"، أي أن إثبات مفهوم كان متاحًا علنًا، وهذا سبب إضافي لعدم ترك المحلِّلات القديمة دون تحديث.

هل أنت متأثر؟

تحقق من الإصدار المثبّت ومن أن BIND يعمل:

dpkg-query -W -f='${Package} ${Version}\n' 'bind9*'
apt policy bind9
systemctl is-active named

إصدارات bookworm الأقدم من 1:9.18.41-1~deb12u1 وإصدارات trixie الأقدم من 1:9.20.15-1~deb13u1 متأثرة. وتحقق كذلك مما إذا كان الخادم يحلّ الأسماء لأي جهة:

sudo named-checkconf -px | grep -nE 'recursion|allow-recursion|allow-query-cache'

الخادم الموثوق فقط ينبغي عادةً أن يحتوي الإعداد recursion no;.

طريقة التحديث

ثبّت أحدث حزم bind9 لإصدارك، فهي تتضمن هذا الإصلاح وكل ما تلاه:

sudo apt update
sudo apt install --only-upgrade bind9 bind9-libs bind9-utils bind9-dnsutils bind9-host
apt policy bind9

حتى 31 أكتوبر 2026 كانت أحدث الإصدارات 1:9.20.30-1~deb13u1 على trixie و1:9.18.49-1~deb12u3 على bookworm. أما bullseye فقد انتهت فترة LTS الخاصة به في 31 أغسطس 2026، لذا ينبغي نقل خادم BIND العامل عليه إلى إصدار مدعوم بدل ترقيعه.

هل يلزم إعادة التشغيل؟

أعد تشغيل الخدمة ليعمل named المُصلَح، ولا حاجة إلى إعادة تشغيل الخادم. كما أن إعادة تشغيل الخدمة تُفرغ الذاكرة المؤقتة للمحلِّل، وهذا مفيد إن اشتبهت في أنها سُمّمت يومًا:

sudo systemctl restart named
named -v

ولتفريغ الذاكرة المؤقتة دون إعادة تشغيل يؤدي الأمر sudo rndc flush المهمة نفسها.

المصادر

• security-tracker.debian.org/tracker/DSA-6033-1
• debian.org/security/2025/dsa-6033
• lists.debian.org/debian-security-announce/2025/msg00199.html
• security-tracker.debian.org/tracker/DLA-4364-1
• lists.debian.org/debian-lts-announce/2025/11/msg00007.html
• security-tracker.debian.org/tracker/bind9
• kb.isc.org/docs/cve-2025-40778
• kb.isc.org/docs/cve-2025-40780
• kb.isc.org/docs/cve-2025-8677
• kb.isc.org/docs/why-does-my-authoritative-server-make-recursive-queries
• cve.org/CVERecord?id=CVE-2025-40778
• cve.org/CVERecord?id=CVE-2025-40780
• cisa.gov/known-exploited-vulnerabilities-catalog
• manpages.debian.org/trixie/bind9-utils/named-checkconf.1.en.html
• debian.org/releases
• bind9.readthedocs.io/en/v9.20.30/reference.html