نشرت ديبيان في 17 سبتمبر 2026 النشرة DSA-6505-1، وهي تحديث لحزمة bind9 في ديبيان 13 (trixie) يعالج 14 ثغرة كشفت عنها ISC قبل ذلك بيوم. وتقول ديبيان إن هذه الثغرات قد تؤدي إلى حجب الخدمة أو تسميم ذاكرة التخزين المؤقت. أما ديبيان 12 (bookworm)، الذي يتولى صيانته الآن فريق الدعم طويل الأمد (LTS)، فقد وصلته عشرة من هذه الإصلاحات في 27 أكتوبر 2026 ضمن DLA-4865-1.
وهذه هي الجولة الكبيرة الثانية لـ BIND خلال الصيف؛ فقد سبقتها DSA-6395-1 في 22 يوليو لإصدار trixie وDLA-4725-1 في 7 أغسطس لإصدار bookworm، وعالجتا مجموعة سابقة وصفتها ديبيان بأنها قد تسمح بتجاوز التحقق من DNSSEC أو تجاوز سياسات RPZ أو تسميم الذاكرة المؤقتة أو حجب الخدمة. ثم صدرت لاحقًا DSA-6576-1 في 21 أكتوبر، لذا ثبّت على trixie أحدث حزمة متاحة لا الحزمة المذكورة هنا فقط.
نظرة سريعة
| البند | التفاصيل |
|---|---|
| الحزمة المصدرية | bind9 |
| ديبيان 13 (trixie) | أُصلحت في 1:9.20.29-1~deb13u1 ضمن DSA-6505-1، ثم حلّ محلها 1:9.20.30-1~deb13u1 |
| ديبيان 12 (bookworm) | أُصلحت عشر ثغرات من الأربع عشرة في 1:9.18.49-1~deb12u3 ضمن DLA-4865-1 |
| الجولة السابقة | DSA-6395-1 (trixie 1:9.20.26-1~deb13u1) وDLA-4725-1 (bookworm 1:9.18.49-1~deb12u2) |
| الخطورة | عالية: صنّفت ISC سبعًا من الثغرات بدرجة عالية (CVSS 7.5) والبقية متوسطة |
ما هي هذه الثغرات؟
أصدرت ISC نشرة مستقلة لكل ثغرة، ويمكن تجميعها حسب أثرها كما يلي:
ثغرات تؤدي إلى توقف named (أغلبها عالية)
- CVE-2026-19666: المحلِّل الذي يستخدم
dns64يتوقف عند تلقّي إجابة مشوّهة بطريقة محددة. - CVE-2026-19667: إجابة سلبية حجمها 65536 بايت تمامًا من خادم يتحكم فيه المهاجم تؤدي إلى إنهاء العملية.
- CVE-2026-80274: إجابة wildcard صحيحة مع إثبات NSEC3 موقّع يليها سجل NSEC غير موقّع للاسم نفسه تسبب توقفًا مفاجئًا.
- CVE-2026-76163: استعلام من نوع TKEY قد يوقف خادمًا لا يحتوي ملف
named.confلديه على كتلةoptionsعامة. - CVE-2026-77692: طلب DNS-over-HTTPS مصمَّم يحمل سجل SIG(0) غير صالح تشفيريًا، ثم إغلاق الاتصال مبكرًا، يؤدي إلى إنهاء
named. - CVE-2026-19662 (متوسطة): خلل استخدام بعد التحرير يمكن الوصول إليه عبر إجابات مصمَّمة بتوقيت دقيق من منطقة موقّعة بـ DNSSEC يتحكم فيها المهاجم.
استنزاف الموارد
- CVE-2026-81563 وCVE-2026-81736 (عالية): سجلات SVCB/HTTPS من نوع AliasMode قد تسبب تسرّبًا في مراجع الذاكرة المؤقتة أو استهلاكًا مفرطًا للمعالج.
- CVE-2026-75029 وCVE-2026-19668 (متوسطة): تكرار سجلات يُفترض أن تكون مفردة يضخّم الذاكرة المؤقتة السلبية، وكثرة نوع معيّن من سجلات DNSSEC غير الصالحة تسبب عملًا زائدًا. وتشير ISC إلى أن الحدود الافتراضية
max-records-per-typeوmax-types-per-nameتخفف من الحالة الأخيرة.
سلامة البيانات والتحقق (متوسطة)
- CVE-2026-19033: في المنطقة الثانوية المحمية بـ TSIG قد يبدأ
namedبتقديم بيانات IXFR المنقولة قبل وصول الرسالة الأخيرة الموقّعة، ولا يتراجع عنها إن لم تصل أبدًا. - CVE-2026-77119 وCVE-2026-19941: قد تُقبل سجلات NSEC3 أو NSEC لا علاقة لها بالاستعلام كإثباتات DNSSEC، مما قد يمرّر إجابات مزوّرة أو يخفي سجل wildcard.
- CVE-2026-78301: منطقة مشوّهة، تصل مثلًا عبر نقل المنطقة، قد تُنشئ حدًّا زائفًا للتفويض.
تقول ISC إنها لا تعلم باستغلال فعلي لأي منها، ولا يوجد أي منها في فهرس CISA للثغرات المستغلة فعليًا (نسخة 30 أكتوبر 2026).
هل أنت متأثر؟
dpkg-query -W -f='${Package} ${Version}\n' 'bind9*'
apt policy bind9
systemctl is-active namedأنظمة trixie الأقدم من 1:9.20.29-1~deb13u1 تفتقد هذه الإصلاحات، وأنظمة bookworm الأقدم من 1:9.18.49-1~deb12u3 تفتقد الإصلاحات العشرة التي يتضمنها DLA-4865-1. ولا يذكر DLA-4865-1 الثغرات CVE-2026-19668 وCVE-2026-76163 وCVE-2026-77119 وCVE-2026-77692، وما زال متتبّع الأمان يعرض bookworm على أنه متأثر بها، علمًا بأن سجلات ISC تذكر أن 76163 و77692 تخصان BIND 9.20 وما بعده فقط.
طريقة التحديث
الأوامر نفسها تعمل على trixie وbookworm، إذ تصل تحديثات LTS عبر مستودع bookworm-security المعتاد:
sudo apt update
sudo apt install --only-upgrade bind9 bind9-libs bind9-utils bind9-dnsutils bind9-host
apt policy bind9على trixie سيُثبَّت أحدث إصدار، وهو حاليًا 1:9.20.30-1~deb13u1 الذي يتضمن إصلاحات أكتوبر أيضًا.
هل يلزم إعادة التشغيل؟
لا حاجة إلى إعادة تشغيل الخادم. أعد تشغيل خدمة BIND (اسم الوحدة في ديبيان named) وتأكد من أنها تجيب:
sudo systemctl restart named
named -v
dig @127.0.0.1 debian.org +shortالمصادر
- security-tracker.debian.org/tracker/DSA-6505-1
- debian.org/security/2026/dsa-6505
- lists.debian.org/debian-security-announce/2026/msg00417.html
- security-tracker.debian.org/tracker/DLA-4865-1
- lists.debian.org/debian-lts-announce/2026/10/msg00059.html
- security-tracker.debian.org/tracker/DSA-6395-1
- lists.debian.org/debian-security-announce/2026/msg00306.html
- security-tracker.debian.org/tracker/DLA-4725-1
- lists.debian.org/debian-lts-announce/2026/08/msg00015.html
- security-tracker.debian.org/tracker/DSA-6576-1
- security-tracker.debian.org/tracker/bind9
- security-tracker.debian.org/tracker/CVE-2026-19668
- security-tracker.debian.org/tracker/CVE-2026-77692
- kb.isc.org/docs/aa-00913
- kb.isc.org/docs/cve-2026-19666
- kb.isc.org/docs/cve-2026-19033
- kb.isc.org/docs/cve-2026-76163
- kb.isc.org/docs/cve-2026-77692
- kb.isc.org/docs/cve-2026-19668
- cve.org/CVERecord?id=CVE-2026-19666
- cisa.gov/known-exploited-vulnerabilities-catalog
- wiki.debian.org/LTS
- debian.org/releases
Comments
0 total · 0 threads