BIND 9 على ديبيان: التحديث DSA-6576-1 يعالج تلفًا في الذاكرة عبر GSS-TSIG وثلاثة أعطال في المحلِّل

أصدرت ديبيان في 21 أكتوبر 2026 النشرة DSA-6576-1 لحزمة bind9 في ديبيان 13 (trixie). تعالج النشرة أربع ثغرات كشفت عنها ISC، الجهة المطوِّرة لـ BIND، في اليوم نفسه وصنّفتها جميعًا بدرجة خطورة عالية. أخطرها CVE-2026-94300، وهو خلل يُتلف الذاكرة أثناء التعامل مع رسائل GSS-TSIG، وتقول ISC إنه قد يُفضي نظريًا إلى تنفيذ تعليمات برمجية عن بُعد، أما الثغرات الثلاث الأخرى فقد تدفع خدمة named إلى استنزاف الموارد أو التوقف.

يعمل ديبيان 12 (bookworm) بإصدار متأثر من فرع BIND 9.18، وحتى 31 أكتوبر 2026 ما زال متتبّع الأمان في ديبيان يُدرجه ضمن الإصدارات المعرّضة للثغرات الأربع.

نظرة سريعة

ما هي هذه الثغرات؟

تلف الذاكرة مع GSS-TSIG (CVE-2026-94300، الدرجة 8.1)

بحسب ISC فإن إعادة إرسال رسائل UDP موقّعة بآلية GSS-TSIG قد تُتلف الذاكرة داخل named. فالمهاجم الذي التقط رسالة موقّعة سابقًا يستطيع إعادة إرسالها ما دام مفتاح TSIG المتفاوض عليه صالحًا، وإذا جمع ذلك مع استعلامات مصمَّمة نحو نطاق يتحكم فيه فقد يتمكن من تنفيذ تعليمات برمجية عن بُعد. ولا تعني هذه الثغرة إلا الخوادم التي تستخدم توقيع GSS-TSIG المبني على Kerberos، ويُفعَّل ذلك عبر الخيارين tkey-gssapi-keytab أو tkey-gssapi-credential.

استنزاف موارد المحلِّل وتوقفه (الدرجة 7.5 لكل منها)

• CVE-2026-19630: رسائل DNS واردة ذات بنية معيّنة تستدعي معالجة إضافية بلا حدّ أعلى، فإذا حملت الرسالة عددًا كبيرًا جدًا من هذه البنى استهلك المحلِّل وقتًا من المعالج وذاكرةً بشكل غير متناسب. وهذه الثغرة لا تتطلب إعدادات غير مألوفة.
• CVE-2026-96888: المحلِّل الذي يجمع بين منطقة من نوع redirect والخيار qname-minimization strict قد يتوقف بسبب فشل في أحد التحققات الداخلية (assertion).
• CVE-2026-97313: الخادم الذي يسمح بالاستعلامات التكرارية ولديه منطقتان على الأقل من مناطق سياسة الاستجابة (RPZ)، إحداهما بالإعداد الافتراضي recursive-only yes والأخرى بالإعداد recursive-only no، قد يتوقف إذا تلقّى استعلامًا تكراريًا يليه استعلام غير تكراري.

لا تذكر ISC أي حلول التفافية لهذه الثغرات، وتقول إنها لا تعلم بوجود استغلال فعلي لها، كما أنها غير مدرجة في فهرس CISA للثغرات المستغلة فعليًا (بحسب نسخة 30 أكتوبر 2026). وقد أصدرت ISC إصلاحات لفرعي 9.20 و9.21 فقط (الإصداران 9.20.30 و9.21.27)، إذ تغطي مصفوفة الثغرات لديها الفروع المدعومة، وهو حاليًا الفرع 9.20.

هل أنت متأثر؟

تحقق أولًا من وجود BIND وتشغيله ومن الإصدار المثبّت:

dpkg-query -W -f='${Package} ${Version}\n' 'bind9*'
apt policy bind9
systemctl is-active named

على trixie، كل إصدار أقدم من 1:9.20.30-1~deb13u1 متأثر. وعلى bookworm كل الإصدارات الحالية متأثرة، بما فيها 1:9.18.49-1~deb12u3 الصادر ضمن DLA-4865-1، فهو يعالج مجموعة سابقة من ثغرات BIND لا هذه الأربع. ولمعرفة ما إذا كانت الثغرات المرتبطة بالإعدادات تنطبق عليك، اطبع الإعدادات مع إخفاء الأسرار وابحث عن الخيارات المعنية:

sudo named-checkconf -px | grep -nE 'tkey-gssapi|type redirect|qname-minimization|response-policy|recursive-only'

طريقة التحديث

على ديبيان 13 (trixie):

sudo apt update
sudo apt install --only-upgrade bind9 bind9-libs bind9-utils bind9-dnsutils bind9-host
apt policy bind9

يقتصر الخيار --only-upgrade على ترقية الحزم المثبّتة أصلًا ويتجاهل غيرها، ويمكنك أيضًا الاكتفاء بالأمر sudo apt upgrade.

أما على ديبيان 12 (bookworm) فلا يوجد ما يُثبَّت حتى الآن. تابع صفحة bind9 في متتبّع الأمان وقائمة debian-lts-announce بانتظار نشرة DLA. وإلى أن تصدر، قلّل الجهات التي تصل إلى الخادم: اقصر الاستعلامات التكرارية على شبكاتك عبر allow-recursion، ولا تترك المحلِّل مفتوحًا للإنترنت كلها، وراجع حاجتك فعلًا إلى GSS-TSIG ومناطق redirect وإعدادات RPZ المختلطة. هذه الخطوات تقلّص التعرض ولا تُصلح الخلل، والحل الأبعد مدى هو التخطيط للانتقال إلى trixie.

هل يلزم إعادة التشغيل؟

لا حاجة إلى إعادة تشغيل الخادم. يكفي إعادة تشغيل خدمة DNS بعد الترقية حتى يعمل الملف التنفيذي الجديد لـ named، ثم التأكد من الإصدار ومن أن الخدمة تجيب:

sudo systemctl restart named
named -v
dig @127.0.0.1 debian.org +short

اسم وحدة الخدمة في ديبيان هو named، أما أدوات سطر الأوامر مثل dig فتستخدم المكتبات الجديدة تلقائيًا عند تشغيلها التالي.

المصادر

• security-tracker.debian.org/tracker/DSA-6576-1
• debian.org/security/2026/dsa-6576
• lists.debian.org/debian-security-announce/2026/msg00491.html
• security-tracker.debian.org/tracker/bind9
• security-tracker.debian.org/tracker/CVE-2026-94300
• security-tracker.debian.org/tracker/CVE-2026-19630
• security-tracker.debian.org/tracker/DLA-4865-1
• kb.isc.org/docs/cve-2026-94300
• kb.isc.org/docs/cve-2026-19630
• kb.isc.org/docs/cve-2026-96888
• kb.isc.org/docs/cve-2026-97313
• kb.isc.org/docs/aa-00913
• cve.org/CVERecord?id=CVE-2026-94300
• cisa.gov/known-exploited-vulnerabilities-catalog
• packages.debian.org/source/trixie/bind9
• bind9.readthedocs.io/en/v9.20.30/reference.html
• manpages.debian.org/trixie/bind9-utils/named-checkconf.1.en.html
• manpages.debian.org/trixie/apt/apt-get.8.en.html
• debian.org/releases