-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in BIND 9
Advisory ID     : NCSC-2025-0341
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2025-8677, CVE-2025-40778, CVE-2025-40780
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Use of Cryptographically Weak Pseudo-Random Number
                  Generator (PRNG)
                  Predictable from Observable State
                  Improper Verification of Cryptographic Signature
                  Acceptance of Extraneous Untrusted Data With Trusted
                  Data
                  Uncontrolled Resource Consumption
                  Asymmetric Resource Consumption (Amplification)
Uitgiftedatum   : 20251024
Toepassing      : ISC BIND 9
Versie(s)       :
Platform(s)     :

Beschrijving
   ISC heeft kwetsbaarheden verholpen in BIND 9 (Specifiek voor versies
   9.16.0 tot 9.16.50, 9.18.0 tot 9.18.39, 9.20.0 tot 9.20.13, en 9.21.0
   tot 9.21.12).

   De kwetsbaarheden bevinden zich in de DNS-resolvers van BIND 9. De
   eerste kwetsbaarheid stelt aanvallers in staat om vervalste DNS-
   records in de cache te injecteren, wat kan leiden tot het omleiden
   van clients naar kwaadaardige domeinen. Een tweede kwetsbaarheid is
   gerelateerd aan een zwakte in de Pseudo Random Number Generator
   (PRNG), waardoor aanvallers bronpoorten en query-ID's kunnen
   voorspellen, wat kan leiden tot cache poisoning aanvallen. De derde
   kwetsbaarheid laat ongeauthenticeerde aanvallers toe om misvormde
   DNSKEY-records te verzenden, wat resulteert in aanzienlijke CPU-
   uitputting en kan leiden tot een denial-of-service voor legitieme
   clients. Deze kwetsbaarheden zijn vooral zorgwekkend voor omgevingen
   die afhankelijk zijn van de specifieke versies van BIND 9.

Mogelijke oplossingen
   ISC heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie
   bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://kb.isc.org/docs/cve-2025-40778

      Reference
      https://kb.isc.org/docs/cve-2025-40780

      Reference
      https://kb.isc.org/docs/cve-2025-8677

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=CE1s
-----END PGP SIGNATURE-----