Las graves vulnerabilidades de BIND que podrían resucitar el envenenamiento de caché DNS
El mundo de la ciberseguridad acaba de estremecerse con un anuncio que nos recuerda a los tiempos oscuros de 2008. Los desarrolladores de BIND, el software más utilizado en todo el planeta para la resolución de nombres de dominio, han alertado sobre dos vulnerabilidades críticas que permiten a los atacantes envenenar cachés completas de resultados DNS. Lo preocupante no es solo la vulnerabilidad en sí, sino que los usuarios podrían acabar en sitios maliciosos sin forma de distinguirlos de los legítimos.
Dos fallos de seguridad que nos devuelven 15 años atrás
Identificadas como CVE-2025-40778 y CVE-2025-40780, estas vulnerabilidades tienen una calificación de gravedad de 8.6 sobre 10, lo que ya nos da una idea de su seriedad. La primera proviene de un error lógico, mientras que la segunda está relacionada con una debilidad en la generación de números pseudoaleatorios.
No estamos hablando de un problema menor. Estas vulnerabilidades permitirían a los atacantes hacer que los resolvers DNS (esos servidores que convierten nombres de dominio en direcciones IP) sustituyan resultados válidos por otros maliciosos. En la práctica, esto significa que cuando intentes visitar tu banco online, podrías acabar en una página idéntica pero controlada por ciberdelincuentes.
También Unbound, otro popular software de resolución DNS, ha informado de vulnerabilidades similares detectadas por los mismos investigadores, aunque con una puntuación de gravedad algo menor (5.6).
El fantasma de Kaminsky regresa para asustarnos
Para entender la gravedad de la situación, tenemos que viajar atrás en el tiempo hasta 2008, cuando Dan Kaminsky reveló una de las amenazas más graves en la historia de internet: el envenenamiento de caché DNS.
Aquella técnica permitía a los atacantes redirigir masivamente a los usuarios hacia sitios falsos en lugar de los legítimos. ¿Te imaginas escribir «google.com» y acabar en una página que parece Google pero está diseñada para robarte información? La industria tuvo que coordinarse a nivel mundial para implementar soluciones que evitaran ese escenario apocalíptico.
¿Cómo funcionaba (y funciona) el ataque?
El problema surge por el uso de paquetes UDP por parte del sistema DNS. Al enviarse en una sola dirección sin establecer una conexión formal, los resolvers DNS no pueden usar contraseñas u otras credenciales cuando se comunican con los «servidores autoritativos» (aquellos oficialmente designados para proporcionar búsquedas para dominios como .com).
La solución que se implementó entonces consistió en aumentar drásticamente la entropía necesaria para que se aceptara una respuesta. Donde antes las búsquedas viajaban solo por el puerto 53, el nuevo sistema seleccionaba aleatoriamente cualquiera de miles de puertos potenciales, combinado con un número de transacción. Esta medida elevó las posibilidades a miles de millones, haciendo matemáticamente inviable que los atacantes acertaran la combinación correcta.
Pero ahora, al menos una de las vulnerabilidades (CVE-2025-40780) debilita precisamente esas defensas:
«En circunstancias específicas, debido a una debilidad en el Generador de Números Pseudoaleatorios (PRNG) utilizado, es posible que un atacante prediga el puerto de origen y el ID de consulta que usará BIND», explicaron los desarrolladores. «BIND puede ser engañado para almacenar en caché respuestas del atacante, si la suplantación tiene éxito».
Por su parte, la CVE-2025-40778 también permite el envenenamiento de caché, pero desde otro vector: «Bajo ciertas circunstancias, BIND es demasiado indulgente al aceptar registros de respuestas, permitiendo que un atacante inyecte datos falsificados en la caché».
¿Estamos realmente al borde del apocalipsis digital?
No exactamente, y esto es importante entenderlo. Aunque estas vulnerabilidades son serias, no llegarán a causar el escenario catastrófico que temíamos en 2008, por varias razones:
- Los servidores autoritativos en sí mismos no son vulnerables
- Existen contramedidas adicionales como DNSSEC (que requiere que los registros DNS estén firmados digitalmente)
- Prácticas como la limitación de tasa y los cortafuegos de servidor siguen funcionando
- La explotación requiere suplantación a nivel de red y un timing preciso
Como señala Red Hat en su divulgación sobre CVE-2025-40780: «Debido a que la explotación no es trivial, requiere suplantación a nivel de red y temporización precisa, y solo afecta la integridad de la caché sin comprometer el servidor, la vulnerabilidad se considera Importante en lugar de Crítica».
Qué debes hacer ahora mismo
Si gestionas servidores DNS o infraestructura de red, la respuesta es simple: instala los parches disponibles lo antes posible. Los tres parches (dos para BIND y uno para Unbound) se lanzaron el miércoles y deberían aplicarse de inmediato.
Para usuarios finales, esto es otro recordatorio de la importancia de mantener actualizado el software y utilizar conexiones seguras (HTTPS) siempre que sea posible. Las conexiones cifradas dificultan significativamente que, incluso si alguien logra redirigirte a un sitio falso, pueda hacerse pasar por el sitio legítimo sin activar alarmas en tu navegador.
Es fascinante (y un poco aterrador) ver cómo, 17 años después del descubrimiento de Kaminsky, seguimos enfrentando variaciones del mismo problema fundamental. La ciberseguridad es, en muchos sentidos, una carrera armamentista sin fin donde las vulnerabilidades nunca desaparecen del todo, solo evolucionan.
