CVE-2026-11721

Nome do Software Vulnerável e Versões Afetadas BIND 9 versões 9.11.0 até 9.18.50 BIND 9 versões 9.20.0 até 9.20.24 BIND 9 versões 9.21.0 até 9.21.23 BIND 9 versões 9.11.3-S1 até 9.18.50-S1 BIND 9 versões 9.20.9-S1 até 9.20.24-S1

Descrição Um invasor pode responder a uma consulta com um RRSIG contendo menos rótulos do que a zona na qual o RRSIG está localizado. Isso faz com que o named gere um nome curinga para uma zona menor que a zona do invasor, o que pode resultar em envenenamento de cache. Este problema ocorre quando o resolver possui a variável synth-from-dnssec configurada como yes, que é a configuração padrão.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Configure a variável synth-from-dnssec como no para mitigar o risco de exploração.