CVE-2026-123596

W bibliotece Hickory DNS (hickory-resolver 0.26.0-beta.1 przed 0.26.2) występuje nieograniczona pętla ponowień w NameServerPool::try_send, która ponownie kolejkuje obcięte odpowiedzi (TC) bez sprawdzania transportu i liczby iteracji. Złośliwy serwer autorytatywny zwracający TC=1 na każdym transporcie utrzymuje resolver w pętli na trwałym połączeniu TCP aż do wygaśnięcia 5-sekundowego terminu, powodując wyczerpanie zasobów.

hickory-proto i hickory-resolver 0.26.0 przed 0.26.2, hickory-server 0.25.0-alpha.1 przed 0.26.2 oraz hickory-recursor 0.25.0-alpha.3 do 0.26.0-alpha.1 nie kanonikalizują adresów IPv6 mapowanych na IPv4 podczas sprawdzania reguł deny_answers, deny_server lub AccessControlSet. Atakujący mogą użyć adresów mapowanych IPv4, aby ominąć filtrowanie odpowiedzi, wywołać zapytania do zabronionych serwerów nazw lub dotrzeć do wdrożeń biblioteki hickory-server na gniazdach dual-stack IPv6 od zabronionych klientów.

Rekursor Hickory DNS we wszystkich wersjach hickory-recursor oraz w hickory-resolver 0.26.0-beta.1 przed 0.26.2 (funkcja recursor) jest podatny na ataki ghost domain names, ponieważ ponownie wykorzystuje zestawy rekordów NS typu apex po stronie dziecka z pamięci podręcznej zapytań NS strefy do rozwiązywania iteracyjnego. Poprzez wielokrotne odpytywanie rekordów NS strefy atakujący utrzymuje nieaktualny zestaw RR w pamięci podręcznej bezterminowo, pozwalając serwerom nazw, których delegacja została cofnięta przez rodzica, nadal odpowiadać za strefę.

Hickory DNS hickory-proto 0.25.0 do 0.26.0-alpha.1 oraz hickory-net 0.26.0-beta.1 przed 0.26.2 odwracają operatory relacyjne w gałęzi wrap-around funkcji find_covering_record() w nsec3.rs, przez co ostatni rekord NSEC3 w pierścieniu hash strefy obejmuje każdy hash z wyjątkiem swojego właściciela. Atakujący zdolni do wstrzykiwania odpowiedzi DNS mogą odtworzyć ten rekord NSEC3 i jego RRSIG, aby sfałszować negatywne odpowiedzi walidowane przez DNSSEC, odmawiając istnienia legalnych nazw.

Hickory DNS hickory-proto 0.25.0-alpha.3 do 0.25.2 oraz hickory-net 0.26.0-alpha.1 przed 0.26.2 zawierają błąd walidacji DNSSEC w DnssecDnsHandle, który akceptuje odpowiedzi NODATA podpisane NSEC3 dla zapytań o wierzchołek strefy jako bezpieczne bez rekordu NSEC3 pasującego do zahashowanej QNAME. Atakujący pośrednik lub złośliwy serwer autorytatywny mogą odtworzyć prawidłowo podpisany NSEC3 niebędący wierzchołkiem wraz z podpisanym SOA strefy, aby dostarczyć uwierzytelnione (AD=1) zaprzeczenie dowolnego typu RR wierzchołka na czas TTL negatywnej pamięci podręcznej.

Hickory DNS hickory-proto w wersjach przed 0.26.0-beta.1 oraz hickory-net w wersjach przed 0.26.2 zawierają obejście walidacji DNSSEC, ponieważ verify_rrsets() ignoruje klasę DNS przy partycjonowaniu RRsetów, przez co rekordy inne niż IN pomijają weryfikację podpisu, ale są oznaczane jako bezpieczne, gdy rekordy IN przejdą weryfikację. Atakujący mogący dostarczyć odpowiedzi DNS może dołączyć sfałszowane rekordy klasy CH lub HS, w tym rekordy DS, aby uwierzytelnić dowolny DNSKEY i sfałszować odpowiedzi strefy podrzędnej.

Rekursor walidujący w Hickory DNS hickory-recursor 0.25.0 do 0.26.0-alpha.1, hickory-resolver 0.26.0-alpha.1 przed 0.26.2 oraz hickory-net 0.26.0-beta.1 przed 0.26.2 buforuje odpowiedzi uznane za DNSSEC-bogus, używając niezaufanego TTL dostarczonego przez atakującego (ograniczonego do 24 godzin) zamiast krótkiego TTL błędu walidacji. Zdalny atakujący, który podszyje się pod pojedynczą odpowiedź autorytatywną z nieprawidłowym podpisem i długim TTL, może utrzymać fałszywy wynik w pamięci podręcznej przez maksymalnie 24 godziny.

Hickory DNS hickory-proto 0.25.0-alpha.1 do 0.26.0-alpha.1 oraz hickory-net przed 0.26.2 zawierają błąd logiczny w ścieżce pobierania DS w DnssecDnsHandle, który buforuje przejściowe błędy wyszukiwania DS jako werdykty walidacji DNSSEC typu Bogus. Atakujący, który wywoła odpowiedź SERVFAIL, REFUSED lub timeout na podzapytanie DS strefy podrzędnej, powoduje, że walidator zwraca SERVFAIL dla wszystkich nazw w tej strefie do czasu wygaśnięcia wpisu w pamięci podręcznej.

Hickory DNS (hickory-proto 0.25 do 0.26.0-alpha.1 i hickory-net 0.26.0-beta.1 przed 0.26.2) zawiera błąd walidacji DNSSEC w obsłudze NSEC3 walidującego rekursora, który dopasowuje najbliższy obwód wyłącznie po hashu bez sprawdzania bitmapy typów, akceptując rekordy NSEC3 delegacji przodka po stronie rodzica jako dowód nieistnienia. Atakujący dostarczający jedną odpowiedź zbudowaną z autentycznie podpisanych rekordów NSEC3 rodzica może spowodować zapisanie NXDOMAIN lub NODATA z AD=1, odmawiając rozwiązywania istniejących nazw w punkcie cięcia strefy i poniżej.

Hickory DNS hickory-proto do 0.26.0-alpha.1 oraz hickory-net 0.26.0-beta.1 przed 0.26.2 zawierają błąd walidacji NSEC, który zwraca bezpieczny dowód dla odpowiedzi NXDOMAIN, gdy Next Domain Name pokrywającego NSEC jest ścisłym potomkiem nazwy zapytania, co w rzeczywistości dowodzi, że nazwa istnieje jako pusty nieterminal. Atakujący pośrednik może zmienić niepodpisany kod odpowiedzi autentycznej podpisanej odpowiedzi NODATA z NOERROR na NXDOMAIN, powodując akceptację sfałszowanego nieistnienia nazwy przez walidatory.