USN-8969-1: Ubuntu corregge 22 falle in Bind, una porta a esecuzione di codice

Ubuntu ha pubblicato il 3 novembre 2026 l'avviso USN-8969-1, che corregge 22 vulnerabilità in bind9, il server DNS più diffuso sulle distribuzioni Linux. Chi gestisce resolver o server autoritativi su Ubuntu 26.10, 26.04 LTS, 24.04 LTS o 22.04 LTS deve aggiornare il pacchetto quanto prima.

La falla che conta: CVE-2026-94300

Delle 22 CVE, una sola comporta un rischio di esecuzione di codice. Secondo l'avviso, Bind gestiva in modo scorretto l'accesso condiviso ai contesti di sicurezza GSS-TSIG, e un attaccante remoto poteva potenzialmente sfruttare questo problema per corrompere la memoria ed eseguire codice arbitrario (CVE-2026-94300). A differenza delle altre 13 falle della stessa serie, questa colpisce anche le versioni LTS, non solo Ubuntu 26.10.

Il meccanismo reale, secondo l'advisory ISC ripreso da Red Hat, richiede che un attaccante catturi un messaggio UDP valido firmato con GSS-TSIG e lo riproduca mentre la chiave negoziata è ancora attiva. Red Hat colloca il rischio come importante più che critico perché l'esecuzione di codice remoto non autenticata è possibile, ma lo sfruttamento dipende dalla cattura di chiavi crittografiche attive e dall'orchestrazione di richieste concorrenti complesse; nelle installazioni standard il demone BIND non abilita GSS-TSIG di default, restringendo il rischio ai server integrati con infrastrutture Kerberos come Active Directory o FreeIPA.

Chi non usa GSS-TSIG per aggiornamenti dinamici autenticati può disabilitare la funzione commentando le direttive tkey-gssapi-keytab e tkey-gssapi-credential nel file di configurazione e riavviando il servizio, come indicato dallo stesso avviso Red Hat.

Le altre 21 falle

Il grosso delle correzioni riguarda denial of service: gestione scorretta di record SOA/CNAME/DNAME ripetuti, proof DNSSEC in cache, query TKEY malformate, risposte DNS64 malformate, puntatori di compressione nei messaggi in ingresso. Alcune toccano l'integrità delle risposte: verifica errata delle firme TSIG nei trasferimenti di zona (CVE-2026-19033), che può permettere l'iniezione di contenuti di zona non autorizzati in un server secondario, e la validazione scorretta dei record NSEC3 di zone sibling non correlate (CVE-2026-77119), che consente un downgrade DNSSEC.

Come aggiornare

Le versioni corrette sono: bind9 1:9.20.24-1ubuntu3.1 per Ubuntu 26.10 e 26.04 LTS, 1:9.18.39-0ubuntu0.24.04.9 per 24.04 LTS, 1:9.18.39-0ubuntu0.22.04.8 per 22.04 LTS. Un aggiornamento standard del sistema (apt update && apt upgrade) applica le patch. Dopo l'installazione va riavviato il servizio named/bind9 per caricare i binari corretti.