RHEL 9 recibe un parche para una RCE en BIND por GSS-TSIG
Red Hat publicó RHSA-2026:93610 para BIND en RHEL 9, con correcciones para CVE-2026-94300 y varios fallos de denegación de servicio. La ejecución remota descrita por ISC requiere capturar y repetir un mensaje GSS-TSIG válido; el aviso no reporta explotación activa conocida.
Red Hat publicó el 2 de noviembre RHSA-2026:93610, una actualización de BIND para Red Hat Enterprise Linux 9 que corrige CVE-2026-94300, además de varios fallos de denegación de servicio. El problema más grave permite potencialmente ejecutar código en el servidor DNS mediante la repetición de un mensaje GSS-TSIG firmado sobre UDP. El aviso de ISC describe una secuencia con requisitos concretos y, cuando publicó el análisis, decía que no conocía explotación activa.
La vulnerabilidad no convierte cualquier consulta DNS en una orden remota. El atacante necesita capturar un mensaje UDP previamente firmado mientras la clave TSIG negociada siga vigente; después lo reproduce y envía consultas preparadas hacia una zona que controla. La combinación de captura, ventana de validez y consultas diseñadas es lo que permite que el servidor llegue al estado de corrupción de memoria descrito por ISC.
-SecureCrew dice: Reproducir un paquete válido es una forma bastante literal de recordarle al servidor que la autenticación también necesita protegerse contra el “ya lo vi”.-
Qué exige el fallo
ISC publicó el aviso el 21 de octubre y describe que el procesamiento concurrente de mensajes GSS-TSIG puede corromper memoria en el proceso servidor de BIND, llamado “named”. Si se combina el replay del mensaje con consultas construidas para una zona del atacante, la corrupción puede acabar en RCE, aunque el aviso también contempla un aborto del proceso. No es lo mismo que una prueba de explotación pública: ISC indicó que no conocía exploits activos al publicar el documento.
La ficha asigna CVSS 8.1 en la versión 3.1, con vector de red, alta complejidad y sin privilegios previos ni interacción del usuario. Ese vector recoge la posibilidad de impacto sobre confidencialidad, integridad y disponibilidad si se alcanza la ejecución, pero la complejidad alta importa para priorizar: el atacante debe obtener y reutilizar el mensaje en las condiciones indicadas. La puntuación no sustituye la revisión de cómo está configurada cada instancia.
-SecureCrew dice: “Remoto” describe por dónde llega el paquete; no borra los requisitos que separan una consulta cualquiera de un ataque viable.-
El aviso upstream enumera como afectadas las ramas BIND 9.11.0–9.18.50, 9.20.0–9.20.29 y 9.21.0–9.21.26, además de ramas Preview específicas. ISC señala como versiones corregidas 9.20.30 y 9.21.27 para sus ramas soportadas. Esas versiones upstream no deben trasladarse tal cual a RHEL: las distribuciones mantienen ramas propias y pueden integrar correcciones mediante paquetes con backports.
El paquete que publica Red Hat
RHSA-2026:93610 está fechado el 2 de noviembre y Red Hat clasifica su impacto de seguridad como “Important”. El aviso cubre Red Hat Enterprise Linux 9 en varias arquitecturas, además de la rama EUS 9.8. Entre los paquetes corregidos figura bind-9.16.23-40.el9_8.13; el sufijo de distribución es la referencia operativa para esta actualización, no una comparación directa con el número de versión upstream.
La errata incluye también correcciones de denegación de servicio: procesamiento sin límite de consultas DNS preparadas y fallos de aserción en rutas de redirección y procesamiento RPZ. Actualizar el paquete resuelve el conjunto de fallos incluido en esa errata, pero cada rama y canal de soporte tiene su propio paquete. No se debe asumir que una instalación de RHEL 8, otro EUS o una compilación autogestionada ya está cubierta por RHSA-2026:93610.
-SecureCrew dice: Un 9.16 en el nombre no significa que el paquete ignore una corrección reciente: el backport está precisamente para eso.-
Los equipos de plataforma deberían inventariar los servidores que ejecutan BIND sobre RHEL 9, comprobar la errata aplicable a su arquitectura y canal —incluido EUS cuando corresponda— y desplegar el paquete corregido con el procedimiento habitual de mantenimiento. En DNS autoritativo o recursivo, conviene coordinar el cambio con los responsables del servicio y verificar su disponibilidad tras la actualización; el alcance del aviso depende del paquete y la rama reales, no solo de que el proceso se llame named.
ISC no publica una mitigación temporal para CVE-2026-94300 y recomienda actualizar a la versión corregida que corresponda. La ausencia de exploits activos conocidos en el aviso de octubre es una observación fechada, no una garantía permanente. El parche está disponible para los productos listados por Red Hat, así que la prioridad práctica es comprobar el canal de entrega de cada sistema y no dejar la decisión en manos de un inventario genérico de “servidores Linux”.
Diccionario de la Crew
GSS-TSIG — Mecanismo de autenticación para mensajes DNS que combina TSIG con servicios de seguridad GSS.
Replay — Reenvío de un mensaje válido capturado previamente para que el receptor lo procese otra vez.
RCE — Ejecución remota de código: capacidad de hacer que un sistema ejecute instrucciones controladas desde otra máquina.
CVSS — Sistema común que expresa la severidad técnica de una vulnerabilidad mediante una puntuación y un vector.
