CVE-2025-59088

WysokieCVSS 8.6

Opublikowano: 12/11/2025(UTC)Zaktualizowano: 30/06/2026(UTC)Przetłumaczono: 01/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

Kdcproxy domyślnie wysyła zapytania SRV do strefy DNS odpowiadającej żądanej domenie, jeśli nie ma zdefiniowanych adresów serwerów. Atakujący może utworzyć rekordy SRV wskazujące na dowolne hosty i porty, w tym pętlę zwrotną lub adresy wewnętrzne, co prowadzi do podatności SSRF. Podatność umożliwia skanowanie sieci wewnętrznej, testowanie reguł zapory oraz eksfiltrację danych.

Ocena ryzyka

Organizacja narażona jest na nieautoryzowany dostęp do wewnętrznej infrastruktury sieciowej, co może prowadzić do wykrycia topologii sieci, reguł zapory oraz wycieku danych. Atakujący może wykorzystać tę podatność do przeprowadzenia skanowania portów i ataków na wewnętrzne systemy.

Rekomendacja

Należy jawnie ustawić opcję 'use_dns' na false w konfiguracji kdcproxy, aby wyłączyć zapytania DNS SRV. Jeśli to konieczne, zdefiniuj adresy serwerów dla każdej domeny w konfiguracji.

Inne podatności w kdcproxy

CVE-2025-59089Średnie
Podatność w kdcproxy pozwala atakującemu na przeprowadzenie ataku DoS poprzez wysłanie nieograniczonej ilości danych w odpowiedzi KDC, co prowadzi do nadmiernego zużycia pamięci i CPU. Brak kontroli długości odpowiedzi TCP oraz nieefektywne zarządzanie buforami powodują, że serwer może zostać przeciążony nawet przy pojedynczym żądaniu.

Oryginalny opis (angielski, źródło NVD)

If kdcproxy receives a request for a realm which does not have server addresses defined in its configuration, by default, it will query SRV records in the DNS zone matching the requested realm name. This creates a server-side request forgery vulnerability, since an attacker could send a request for a realm matching a DNS zone where they created SRV records pointing to arbitrary ports and hostnames (which may resolve to loopback or internal IP addresses). This vulnerability can be exploited to probe internal network topology and firewall rules, perform port scanning, and exfiltrate data. Deployments where the "use_dns" setting is explicitly set to false are not affected.