NCSC waarschuwt voor aanstaande aanvallen op gaten in veelgebruikte DNS-software

Het Nederlandse Nationaal Cyber Security Centrum verwacht op korte termijn aanvallen op DNS‑software BIND 9. Die veelgebruikte opensourcesoftware voor het vertalen van domeinnamen naar IP-adressen bevat drie kritieke kwetsbaarheden. Patches en poc-code zijn al verschenen.

Het Nationaal Cyber Security Centrum van de Nederlandse overheid waarschuwt voor aanstaande hackaanvallen, omdat de kwetsbaarheden in BIND 9 te misbruiken zijn om internetgebruikers ongemerkt om te leiden naar kwaadwillige sites. Bij dit zogeheten cachepoisoning geeft het domain name system verkeerde antwoorden op verzoeken om domeinnamen van sites om te zetten in IP-adressen van servers. Beveiligingsonderzoekers hebben proof-of-conceptcode gepubliceerd en het NCSC verwacht dat kwaadwillenden die snel omzetten in werkende aanvalscode.

De ontwikkelaar van de BIND 9-software, het Internet Systems Consortium, heeft al updates uitgebracht om de drie kwetsbaarheden te verhelpen. Beheerders van DNS-systemen met BIND 9 moeten deze patches zo snel mogelijk installeren. Volgens het NCSC is het 'onwaarschijnlijk dat de BIND-server zelf gecompromitteerd kan worden', maar toch is er sprake van acuut gevaar.

De drie kwetsbaarheden in BIND 9 bevinden zich in de DNS-resolvers van de software. "De eerste kwetsbaarheid stelt aanvallers in staat om vervalste DNS-records in de cache te injecteren, wat kan leiden tot het omleiden van clients naar kwaadaardige domeinen", legt het NCSC uit. De tweede kwetsbaarheid is een bug in de generator van willekeurige getallen en geeft aanvallers de mogelijkheid om bronpoorten en query-ID's te voorspellen, waarna ze cachepoisoningaanvallen kunnen uitvoeren.

De derde kwetsbaarheid maakt ddos-aanvallen mogelijk. Ongeauthenticeerde aanvallers kunnen daardoor misvormde Dnskey-records verzenden, wat zorgt voor hoge processorbelasting en een DNS-server onbereikbaar kan maken voor legitieme clientsystemen.

"Op dit moment wordt (nog) geen actief misbruik waargenomen", meldt het NCSC in zijn beveiligingsadvies. Volgens securitybedrijf Censys zijn er wereldwijd ruim 706.000 servers vatbaar voor de eerste (CVE-2025-40778) van de drie kwetsbaarheden. De updates van ISC kwamen vorige week uit en de poc-code volgde snel daarna.

Reacties (11)

[bazzi]

Previous versions of this advisory overestimated the number of affected servers due to only keying off versions, however only recursive resolvers are affected. Numbers have been updated to reflect more accurate counts.

Aldus: https://censys.com/advisory/cve-2025-40778

Dus gebruik je bind niet als recursive dns resolver, dan is het mogelijk dus niet zo gevaarlijk. Mogelijk als mitigatie recursive uitzetten?

UPDATE:

Mitigations

• Upgrade resolvers to a patched release (9.18.41, 9.20.15, 9.21.14, or newer maintenance builds) as provided by ISC.
• Until upgrades are complete, restrict recursion to trusted clients, employ DNSSEC validation, and monitor caches for unexpected RRsets. Note these measures reduce but do not eliminate risk.

https://gist.github.com/N3mes1s/f76b4a606308937b0806a5256bc1f918#mitigations

en

Impact:

Forged records can be injected into cache during a query, which can potentially affect resolution of future queries.

• Authoritative services are believed to be unaffected by this vulnerability but it is important to read: https://kb.isc.org/docs/why-does-my-authoritative-server-make-recursive-queries
• Resolvers are affected by this vulnerability.

https://kb.isc.org/docs/cve-2025-40778

kortom als je resolvers niet gebruikt, dan lijkt het mee te vallen. Er zijn betere recursive dns servers beschikbaar dan bind, zelf gebruiken we unbound (met ip limits) en staat de recursive overal uit bij bind.

[Reactie gewijzigd door bazzi op 27 oktober 2025 17:05]

[BernardV]

DirectAdmin wordt ook vaak gebruikt in combinatie met bind (named).
Dus iedereen die DirectAdmin gebruikt met bind open voor queries kan een probleem hebben.

[DrFlash]

In DirectAdmin, Cpanel en andere webhosting software staat de DNS server standaard alleen op Authorative, en niet Recursive, deze bug zal dus geen impact hebben mits je zelf aanpassingen hebt gemaakt.

[spasma]

Ik denk dat je 'tenzij' bedoelt ipv mits. De bug heeft namelijk juist wel impact als je aanpassingen hebt gemaakt

[Kets_One]

@bazzi wees je ervan bewust dat je niet alleen kwetsbaar bent als je zelf BIND draait maar ook als je gebruik maakt van een publieke DNS dienst zoals bijvoorbeeld QUAD9. Deze maakt namelijk ook gebruik van BIND.

[bazzi]

Klopt en andere:

Incoming queries are first triaged by dnsdist from PowerDNS, then routed to either Unbound, PowerDNS Recursor, or BIND 9.

Bron: https://www.isc.org/blogs/quad9-2020-06/

persoonlijk zou ik als ik hun was de bind9 even uit de mix halen

[d3burt]

Ik zou persoonlijk gewoon snel patchen, en de informatiekanalen goed in de gaten houden. Unbound heeft ook een patch nodig: https://nlnetlabs.nl/projects/unbound/security-advisories/

Nu nog even de patches ook door Redhat beschikbaar laten maken...

[desalniettemin]

En NextDNS? Ik gebruik die. Of kan je nu misschien beter je browser laten kiezen welke te gebruiken? De eerste optie in Firefox onder Privacy & Security?

[DDX]

Red Hat heeft nog geen update....
https://access.redhat.com/security/cve/cve-2025-40778

[lenwar]

Goed dat hier direct veel aandacht voor is. DNS is essentieel voor. Nou ja. Alles. Het doet gigantisch veel tegenwoordig. Het is allang veel meer dan alleen maar een 'adresboek'. (mailserver verificatie (SPF/DKIM/enz.), TLS-certificaatuitgevers verifieren, en nog meer.)

Hieraan zien we dus ook gelijk hoe essentieel zaken als DoH, DoT, DoQ. Welke dan ook, in elk geval versleutelde DNS is. Tussen zowel de software (direct, buiten het besturingssysteem om!) en de DNS-recursor (of server), en tussen de DNS-recursor en de DNS-server.) Ieder stuk software en ieder apparaat dat tussen je software en de DNS-server komt, is een potentieel gevaar, zowel qua privacy (je ISP/netwerkprovider/router/switch/enz. hoeft niet per se te zien welke DNS-verzoeken je doet) en veiligheid. (een willekeurig stukje malware kan onversleutelde DNS makkelijk manipuleren, waardoor je ongemerkt verkeerd uitkomt - Nou moet er natuurlijk nog wel wat anders gebeuren, gezien vrijwel alles https is tegenwoordig, maar het is toch gewoon een eerste stap.)

[HollowGamer]

"NCSC waarschuwt voor aanstaande aanvallen op gaten in BIND 9"

Of levert dat te weinig hits op?