Servidores DNS com BIND recebem atualização para corrigir 14 vulnerabilidades
O Internet Systems Consortium (ISC) liberou uma nova atualização de segurança para o BIND 9, uma das plataformas DNS mais utilizadas em servidores conectados à internet. O pacote elimina 14 vulnerabilidades que podem afetar a disponibilidade, a integridade das respostas e o consumo de recursos do serviço.
Entre os problemas corrigidos, sete foram classificados como de alta gravidade, com pontuação CVSS 7.5. As outras sete falhas receberam notas entre 5.3 e 6.5, indicando riscos de nível médio. Embora não tenham sido relatados ataques explorando essas brechas, a instalação das versões corrigidas é recomendada com prioridade.
O BIND é responsável por converter nomes de domínio, como endereços de sites e serviços, em endereços IP. Essa função é essencial para o funcionamento de aplicações, sistemas corporativos, APIs e páginas na web. Se um servidor DNS deixa de responder ou fornece informações incorretas, o impacto pode se espalhar rapidamente por toda a infraestrutura que depende dele.
Falha crítica pode derrubar o processo do DNS
A vulnerabilidade mais grave permite que um invasor sem autenticação interrompa o processo `named`, componente responsável pela operação do BIND. Para isso, basta enviar uma requisição que contenha uma assinatura SIG(0) inválida em uma comunicação baseada em DNS over HTTPS.
Na prática, um atacante remoto pode provocar uma condição de negação de serviço sem precisar obter credenciais ou acesso administrativo. Dependendo da arquitetura utilizada, a interrupção pode impedir a resolução de domínios para usuários, aplicações internas e sistemas externos.
A maioria das falhas corrigidas também não exige autenticação. Por esse motivo, servidores expostos diretamente à internet ou usados como resolvedores públicos devem ser avaliados primeiro, principalmente quando atendem grande quantidade de clientes.
Riscos de envenenamento de cache
Outro conjunto de vulnerabilidades está relacionado ao envenenamento do cache DNS. Esse tipo de ataque ocorre quando o servidor armazena uma resposta falsa e passa a entregá-la a outros usuários como se fosse legítima.
Em um dos cenários corrigidos, o BIND poderia aceitar uma resposta NXDOMAIN falsificada. Esse código indica que determinado domínio não existe e, quando manipulado, pode impedir o acesso a serviços válidos ou alterar o comportamento esperado das consultas.
Também foi corrigido um problema envolvendo delegações seguras. A falha poderia fazer com que uma resposta sem assinatura fosse aceita depois que a validação de segurança tivesse sido rebaixada. Em outra situação, dados externos à zona poderiam ser apresentados como se fossem informações autoritativas, aumentando o risco de respostas DNS incorretas.
Consumo excessivo de memória e processamento
As correções abrangem ainda falhas capazes de provocar esgotamento de recursos. Entre os efeitos possíveis estão o crescimento descontrolado do cache e o uso elevado de CPU. Em servidores com grande volume de consultas, essas condições podem degradar o desempenho, aumentar a latência e levar à indisponibilidade completa do serviço.
Há também problemas relacionados à integridade de transferências de zona divididas em várias mensagens. As transferências de zona são usadas para replicar registros entre servidores DNS autoritativos. Se o processo não for validado corretamente, uma réplica pode receber informações incompletas, inconsistentes ou manipuladas.
Versões afetadas e pacotes corrigidos
As versões vulneráveis do BIND de código aberto são:
– 9.11.0 a 9.18.50;
– 9.20.0 a 9.20.27;
– 9.21.0 a 9.21.25.
As correções foram incorporadas às versões 9.20.29, 9.21.26 e 9.20.29-S1, esta última associada à edição de prévia com suporte. Administradores devem confirmar qual ramo está instalado antes de escolher o pacote de atualização.
Não há medida de contorno capaz de eliminar completamente os riscos. Restringir consultas, reduzir a exposição do servidor e aplicar regras adicionais de rede pode diminuir a superfície de ataque, mas não substitui a atualização oficial.
Recomendações para administradores
A primeira etapa é identificar todos os servidores que executam BIND, incluindo instâncias em ambientes de nuvem, laboratórios, filiais e redes internas. Também é importante verificar servidores secundários, pois uma infraestrutura pode permanecer vulnerável mesmo quando apenas parte dos nós foi atualizada.
Antes da manutenção, recomenda-se revisar arquivos de configuração e manter cópias de segurança das zonas. Em ambientes críticos, a atualização deve ser feita de forma gradual, começando por um servidor secundário e acompanhando o comportamento das consultas, das transferências de zona e dos registros de erro.
Depois da instalação, a equipe deve confirmar a versão em execução, reiniciar o serviço quando necessário e verificar se os processos estão respondendo normalmente. Métricas de CPU, memória, quantidade de consultas e taxa de falhas ajudam a identificar efeitos inesperados.
Também é prudente analisar os registros históricos em busca de sinais como picos incomuns de requisições, repetição de consultas NXDOMAIN, falhas em validações DNSSEC ou interrupções no processo `named`. A ausência de exploração conhecida não significa que os servidores estejam fora de risco.
O ISC informou não ter conhecimento de exploração ativa das 14 vulnerabilidades. Além disso, nenhuma delas foi incluída no catálogo de falhas exploradas mantido pela CISA. Ainda assim, a combinação de exposição remota, ausência de autenticação em vários cenários e impacto sobre a disponibilidade torna a correção uma tarefa prioritária.
Organizações que continuam utilizando a linha 9.18 devem preparar a migração para a série 9.20. O planejamento deve incluir testes de compatibilidade, avaliação de módulos dependentes, validação das configurações DNSSEC e definição de uma janela de manutenção que reduza o risco de interrupção para os usuários.