Fecha de emisión: 9 de octubre de 2026
CVE ID: CVE-2015-5477
Severidad: ALTA — CVSS 3.1: 7.5 (prioridad de atención: CRÍTICA por explotación activa; ISC la califica como crítica)
Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Tipo de vulnerabilidad: CWE-617: Aserción alcanzable (reachable assertion)
Producto afectado: ISC BIND 9 (servidor DNS named), versiones 9.1.0 a 9.9.7-P1 y 9.10.0 a 9.10.2-P2
Explotación activa: Sí — Incluida en el catálogo CISA KEV (Known Exploited Vulnerabilities) desde el 8 de octubre de 2026 (fecha límite CISA: 11 de octubre de 2026). Explotada por actores vinculados al gobierno de China según el aviso conjunto AA26-281A
Fuente: ISC (AA-01272) / NVD / CISA (KEV y aviso conjunto AA26-281A)
Clasificación TLP: TLP:CLEAR (Difusión pública)
I. Descripción
Se ha identificado una vulnerabilidad en el procesamiento de consultas TKEY en ISC BIND 9, el software de servidor DNS más utilizado, registrada como CVE-2015-5477 y calificada con 7.5 de 10 en la escala CVSS 3.1. Un atacante remoto, sin autenticación, puede enviar un único paquete DNS manipulado que provoca un fallo de aserción (REQUIRE) y la terminación del proceso named, lo que deja fuera de servicio la resolución o publicación de nombres de dominio.
Afecta tanto a servidores recursivos como autoritativos. Según el fabricante, las listas de control de acceso (ACL) y las opciones de configuración no evitan la exposición, porque el código vulnerable se ejecuta antes de esas comprobaciones, y no existen soluciones temporales (workarounds). Hay código de explotación público desde 2015.
CSIRT Panamá publicó un aviso sobre esta vulnerabilidad en julio de 2015 (CSIRT Panamá Aviso 2015-07 – Vulnerabilidad en BIND). Se emite este nuevo aviso porque ahora existe explotación activa confirmada y porque todavía pueden quedar servidores sin actualizar.
El 8 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorporó a su catálogo de Known Exploited Vulnerabilities (KEV), lo que confirma que está siendo explotada activamente. Ese mismo día, CISA, el FBI, la NSA y socios internacionales publicaron el aviso conjunto AA26-281A, que la incluye entre las vulnerabilidades explotadas con éxito por actores vinculados al gobierno de China y apoyados por la empresa Integrity Technology Group, cuyas tácticas coinciden con las de los grupos conocidos como Flax Typhoon, Ethereal Panda y Red Juliett. Estos actores atacan equipos y servicios expuestos a Internet en sectores de infraestructura crítica.
El modelo EPSS estima en 91 % la probabilidad de que sea explotada en los próximos 30 días, lo que la ubica entre el 0,2 % de vulnerabilidades con mayor probabilidad de explotación.
Descripción técnica publicada en NVD (en inglés): «named in ISC BIND 9.x before 9.9.7-P2 and 9.10.x before 9.10.2-P3 allows remote attackers to cause a denial of service (REQUIRE assertion failure and daemon exit) via TKEY queries.»
II. Productos Afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| ISC BIND 9 | 9.1.0 a 9.8.x | Sin corrección (ramas fuera de soporte): migrar a una rama soportada |
| ISC BIND 9 | 9.9.0 a 9.9.7-P1 | 9.9.7-P2 |
| ISC BIND 9 | 9.10.0 a 9.10.2-P2 | 9.10.2-P3 |
| Distribuciones y productos que incluyen BIND (p. ej., Red Hat Enterprise Linux, Juniper Junos OS) | Según el aviso de cada fabricante | Red Hat RHSA-2015:1513; Juniper boletín JSA de enero de 2016 |
Nota: todas las versiones corregidas mencionadas pertenecen a ramas que ya no reciben soporte. Se recomienda actualizar a la rama de BIND 9 vigente publicada por ISC.
III. Acciones Requeridas
1. Actualizar inmediatamente
Actualizar BIND a 9.9.7-P2, 9.10.2-P3 o, preferiblemente, a la versión vigente de una rama soportada por ISC. En sistemas Linux o equipos de red, aplicar el paquete o firmware corregido del fabricante correspondiente. Revisar también equipos que incluyan BIND de forma embebida (appliances DNS, firewalls, routers).
2. Mitigar inmediatamente si no es posible parchear
ISC indica que no existen soluciones temporales y que las ACL no protegen al servidor. Mientras se actualiza: restringir a nivel de red el acceso al puerto 53 (UDP/TCP) de los servidores que no deban ser públicos; desplegar firmas de IPS/IDS para CVE-2015-5477 o bloquear consultas DNS de tipo TKEY (tipo 249) de origen no autorizado; y configurar el reinicio automático del servicio named para reducir el tiempo de caída.
3. Verificar posible explotación
Esta vulnerabilidad provoca la caída del servicio y no da acceso al sistema, pero en el aviso AA26-281A forma parte de una campaña más amplia. Se recomienda:
- Revisar los registros de
namedy del sistema en busca de terminaciones inesperadas con mensajesREQUIRE(...) failedyexiting (due to assertion failure). - Revisar capturas de tráfico o registros de IDS en busca de consultas TKEY (tipo 249) provenientes de direcciones no autorizadas.
- Importar en SIEM, EDR y firewall los indicadores de compromiso (IoC) publicados por CISA para AA26-281A (formatos STIX JSON y XML), que incluyen cientos de direcciones IP y dominios asociados a la campaña. CISA advierte que algunos indicadores datan de 2016 y deben validarse antes de bloquearlos.
Reportar cualquier hallazgo a incidentes@cert.pa.
IV. Referencias
- ISC. CVE-2015-5477: An error in handling TKEY queries can cause named to exit with a REQUIRE assertion failure (AA-01272). https://kb.isc.org/docs/aa-01272
- CISA, FBI, NSA y socios internacionales. Aviso conjunto AA26-281A: Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data. https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
- CISA. Indicadores de compromiso AA26-281A (STIX JSON). https://www.cisa.gov/sites/default/files/2026-10/AA26-281A-stix.json
- CISA. Indicadores de compromiso AA26-281A (STIX XML). https://www.cisa.gov/sites/default/files/2026-10/AA26-281A-stix.xml
- Red Hat. RHSA-2015:1513 – actualización de seguridad de bind. https://access.redhat.com/errata/RHSA-2015:1513
- Juniper Networks. 2016-01 Security Bulletin: Junos: Vulnerability in ISC BIND named (CVE-2015-5477). https://supportportal.juniper.net/s/article/2016-01-Security-Bulletin-Junos-Vulnerability-in-ISC-BIND-named-CVE-2015-5477
- National Institute of Standards and Technology (NIST). National Vulnerability Database: CVE-2015-5477. https://nvd.nist.gov/vuln/detail/CVE-2015-5477
- CISA. Known Exploited Vulnerabilities Catalog. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
V. Información de Contacto
CSIRT PANAMÁ · Computer Security Incident Response Team
Autoridad Nacional para la Innovación Gubernamental
E-Mail: incidentes@cert.pa · info@cert.pa
Phone: +507 520-CERT (2378) · Web: https://cert.pa · X: @CSIRTPanama · Key ID: 16F2B124