CVE-2023-50387
WysokieStreszczenie
Podatność KeyTrap w protokole DNSSEC umożliwia zdalnemu atakującemu przeprowadzenie ataku typu Denial of Service (DoS) poprzez wysłanie odpowiedzi DNSSEC zawierających wiele rekordów DNSKEY i RRSIG. Powoduje to nadmierne zużycie CPU na serwerze DNS, co może prowadzić do jego przeciążenia.
Ocena ryzyka
Organizacja narażona jest na ryzyko przeciążenia serwerów DNS, co może skutkować niedostępnością usług sieciowych, w tym stron internetowych i poczty elektronicznej, dla użytkowników wewnętrznych i zewnętrznych.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek bezpieczeństwa dostarczonych przez producentów oprogramowania DNS (np. BIND, Unbound, Knot DNS) oraz tymczasowe ograniczenie liczby przetwarzanych rekordów DNSSEC w konfiguracji serwera.
Inne podatności w DNS
Zobacz wszystkie- CVE-2026-6949Średnie
Pakiet TSIG z kompresją nazw może spowodować awarię DNS. Nieprawidłowe obliczenia rozmiaru, gdy rekord TSIG zawiera skompresowane nazwy, prowadzą do dużego zapisu poza zakresem, co powoduje awarię serwera.
- CVE-2026-52684Niskie
W systemie DNS występuje problem, gdy serwer autorytatywny odpowiada bardzo wolno, a rekordy wygasają w międzyczasie. W takiej sytuacji nie jest wymuszane obcięcie TTL z powodu braku danych. Problem nie występuje przy normalnym rozwiązywaniu nazw.
- CVE-1999-1379Średnie
Podatność w DNS umożliwia zdalnym atakującym wykorzystanie serwerów nazw DNS jako wzmacniaczy ruchu. Atakujący może wysłać zapytanie UDP DNS z fałszywym adresem źródłowym, co skutkuje większym ruchem do ofiary niż ten, który został wysłany przez atakującego.
Oryginalny opis (angielski, źródło NVD)
Certain DNSSEC aspects of the DNS protocol (in RFC 4033, 4034, 4035, 6840, and related RFCs) allow remote attackers to cause a denial of service (CPU consumption) via one or more DNSSEC responses, aka the "KeyTrap" issue. One of the concerns is that, when there is a zone with many DNSKEY and RRSIG r