{"id":6106,"date":"2026-10-09T08:53:38","date_gmt":"2026-10-09T13:53:38","guid":{"rendered":"https:\/\/cert.pa\/?p=6106"},"modified":"2026-10-12T13:31:52","modified_gmt":"2026-10-12T18:31:52","slug":"csirt-panama-aviso-2026-oct-9-vulnerabilidad-alta-en-isc-bind-explotada-activamente-que-permite-detener-el-servicio-dns-cve-2015-5477","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=6106","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2026-oct-9: Vulnerabilidad Alta en ISC BIND explotada activamente que permite detener el servicio DNS \u2014 CVE-2015-5477"},"content":{"rendered":"\n

Fecha de emisi\u00f3n:<\/strong> 9 de octubre de 2026
CVE ID:<\/strong> CVE-2015-5477
Severidad:<\/strong> ALTA \u2014 CVSS 3.1: 7.5 (prioridad de atenci\u00f3n: CR\u00cdTICA por explotaci\u00f3n activa; ISC la califica como cr\u00edtica)
Vector CVSS:<\/strong> CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:N\/I:N\/A:H
Tipo de vulnerabilidad:<\/strong> CWE-617: Aserci\u00f3n alcanzable (reachable assertion)
Producto afectado:<\/strong> ISC BIND 9 (servidor DNS named<\/code>), versiones 9.1.0 a 9.9.7-P1 y 9.10.0 a 9.10.2-P2
Explotaci\u00f3n activa:<\/strong> S\u00ed \u2014 Incluida en el cat\u00e1logo CISA KEV (Known Exploited Vulnerabilities) desde el 8 de octubre de 2026 (fecha l\u00edmite CISA: 11 de octubre de 2026). Explotada por actores vinculados al gobierno de China seg\u00fan el aviso conjunto AA26-281A
Fuente:<\/strong> ISC (AA-01272) \/ NVD \/ CISA (KEV y aviso conjunto AA26-281A)
Clasificaci\u00f3n TLP:<\/strong> TLP:CLEAR (Difusi\u00f3n p\u00fablica)<\/p>\n\n\n\n

I. Descripci\u00f3n<\/strong><\/p>\n\n\n\n

Se ha identificado una vulnerabilidad en el procesamiento de consultas TKEY en ISC BIND 9, el software de servidor DNS m\u00e1s utilizado, registrada como CVE-2015-5477 y calificada con 7.5 de 10 en la escala CVSS 3.1. Un atacante remoto, sin autenticaci\u00f3n, puede enviar un \u00fanico paquete DNS manipulado que provoca un fallo de aserci\u00f3n (REQUIRE<\/code>) y la terminaci\u00f3n del proceso named<\/code>, lo que deja fuera de servicio la resoluci\u00f3n o publicaci\u00f3n de nombres de dominio.<\/p>\n\n\n\n

Afecta tanto a servidores recursivos como autoritativos. Seg\u00fan el fabricante, las listas de control de acceso (ACL) y las opciones de configuraci\u00f3n no evitan la exposici\u00f3n, porque el c\u00f3digo vulnerable se ejecuta antes de esas comprobaciones, y no existen soluciones temporales (workarounds). Hay c\u00f3digo de explotaci\u00f3n p\u00fablico desde 2015.<\/p>\n\n\n\n

CSIRT Panam\u00e1 public\u00f3 un aviso sobre esta vulnerabilidad en julio de 2015 (CSIRT Panam\u00e1 Aviso 2015-07 \u2013 Vulnerabilidad en BIND<\/a>). Se emite este nuevo aviso porque ahora existe explotaci\u00f3n activa confirmada y porque todav\u00eda pueden quedar servidores sin actualizar.<\/p>\n\n\n\n

El 8 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorpor\u00f3 a su cat\u00e1logo de Known Exploited Vulnerabilities (KEV), lo que confirma que est\u00e1 siendo explotada activamente. Ese mismo d\u00eda, CISA, el FBI, la NSA y socios internacionales publicaron el aviso conjunto AA26-281A, que la incluye entre las vulnerabilidades explotadas con \u00e9xito por actores vinculados al gobierno de China y apoyados por la empresa Integrity Technology Group, cuyas t\u00e1cticas coinciden con las de los grupos conocidos como Flax Typhoon, Ethereal Panda y Red Juliett. Estos actores atacan equipos y servicios expuestos a Internet en sectores de infraestructura cr\u00edtica.<\/p>\n\n\n\n

El modelo EPSS estima en 91 % la probabilidad de que sea explotada en los pr\u00f3ximos 30 d\u00edas, lo que la ubica entre el 0,2 % de vulnerabilidades con mayor probabilidad de explotaci\u00f3n.<\/p>\n\n\n\n

Descripci\u00f3n t\u00e9cnica publicada en NVD (en ingl\u00e9s): \u00abnamed in ISC BIND 9.x before 9.9.7-P2 and 9.10.x before 9.10.2-P3 allows remote attackers to cause a denial of service (REQUIRE assertion failure and daemon exit) via TKEY queries.\u00bb<\/p>\n\n\n\n

II. Productos Afectados<\/strong><\/p>\n\n\n\n

Producto<\/th>Versiones afectadas<\/th>Versi\u00f3n corregida<\/th><\/tr><\/thead>
ISC BIND 9<\/td>9.1.0 a 9.8.x<\/td>Sin correcci\u00f3n (ramas fuera de soporte): migrar a una rama soportada<\/td><\/tr>
ISC BIND 9<\/td>9.9.0 a 9.9.7-P1<\/td>9.9.7-P2<\/td><\/tr>
ISC BIND 9<\/td>9.10.0 a 9.10.2-P2<\/td>9.10.2-P3<\/td><\/tr>
Distribuciones y productos que incluyen BIND (p. ej., Red Hat Enterprise Linux, Juniper Junos OS)<\/td>Seg\u00fan el aviso de cada fabricante<\/td>Red Hat RHSA-2015:1513; Juniper bolet\u00edn JSA de enero de 2016<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Nota: todas las versiones corregidas mencionadas pertenecen a ramas que ya no reciben soporte. Se recomienda actualizar a la rama de BIND 9 vigente publicada por ISC.<\/p>\n\n\n\n

III. Acciones Requeridas<\/strong><\/p>\n\n\n\n

1. Actualizar inmediatamente<\/strong>
Actualizar BIND a 9.9.7-P2, 9.10.2-P3 o, preferiblemente, a la versi\u00f3n vigente de una rama soportada por ISC. En sistemas Linux o equipos de red, aplicar el paquete o firmware corregido del fabricante correspondiente. Revisar tambi\u00e9n equipos que incluyan BIND de forma embebida (appliances DNS, firewalls, routers).<\/p>\n\n\n\n

2. Mitigar inmediatamente si no es posible parchear<\/strong>
ISC indica que no existen soluciones temporales y que las ACL no protegen al servidor. Mientras se actualiza: restringir a nivel de red el acceso al puerto 53 (UDP\/TCP) de los servidores que no deban ser p\u00fablicos; desplegar firmas de IPS\/IDS para CVE-2015-5477 o bloquear consultas DNS de tipo TKEY (tipo 249) de origen no autorizado; y configurar el reinicio autom\u00e1tico del servicio named<\/code> para reducir el tiempo de ca\u00edda.<\/p>\n\n\n\n

3. Verificar posible explotaci\u00f3n<\/strong>
Esta vulnerabilidad provoca la ca\u00edda del servicio y no da acceso al sistema, pero en el aviso AA26-281A forma parte de una campa\u00f1a m\u00e1s amplia. Se recomienda:<\/p>\n\n\n\n