CVE-2026-123599
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Hickory DNS hickory-proto w wersjach przed 0.26.0-beta.1 oraz hickory-net w wersjach przed 0.26.2 zawierają obejście walidacji DNSSEC, ponieważ verify_rrsets() ignoruje klasę DNS przy partycjonowaniu RRsetów, przez co rekordy inne niż IN pomijają weryfikację podpisu, ale są oznaczane jako bezpieczne, gdy rekordy IN przejdą weryfikację. Atakujący mogący dostarczyć odpowiedzi DNS może dołączyć sfałszowane rekordy klasy CH lub HS, w tym rekordy DS, aby uwierzytelnić dowolny DNSKEY i sfałszować odpowiedzi strefy podrzędnej.
Ocena ryzyka
Atakujący może obejść walidację DNSSEC i dostarczyć sfałszowane odpowiedzi DNS, co podważa zaufanie do rozwiązywania nazw i może przekierować ruch do złośliwych celów.
Rekomendacja
Zaktualizuj hickory-proto do wersji 0.26.0-beta.1 lub nowszej oraz hickory-net do wersji 0.26.2 lub nowszej.
Inne podatności w Hickory DNS
Zobacz wszystkie- CVE-2026-123604Wysokie
W bibliotece Hickory DNS (hickory-resolver 0.26.0-beta.1 przed 0.26.2) występuje nieograniczona pętla ponowień w NameServerPool::try_send, która ponownie kolejkuje obcięte odpowiedzi (TC) bez sprawdzania transportu i liczby iteracji. Złośliwy serwer autorytatywny zwracający TC=1 na każdym transporcie utrzymuje resolver w pętli na trwałym połączeniu TCP aż do wygaśnięcia 5-sekundowego terminu, powodując wyczerpanie zasobów.
- CVE-2026-123603Średnie
hickory-proto i hickory-resolver 0.26.0 przed 0.26.2, hickory-server 0.25.0-alpha.1 przed 0.26.2 oraz hickory-recursor 0.25.0-alpha.3 do 0.26.0-alpha.1 nie kanonikalizują adresów IPv6 mapowanych na IPv4 podczas sprawdzania reguł deny_answers, deny_server lub AccessControlSet. Atakujący mogą użyć adresów mapowanych IPv4, aby ominąć filtrowanie odpowiedzi, wywołać zapytania do zabronionych serwerów nazw lub dotrzeć do wdrożeń biblioteki hickory-server na gniazdach dual-stack IPv6 od zabronionych klientów.
- CVE-2026-123602Średnie
Rekursor Hickory DNS we wszystkich wersjach hickory-recursor oraz w hickory-resolver 0.26.0-beta.1 przed 0.26.2 (funkcja recursor) jest podatny na ataki ghost domain names, ponieważ ponownie wykorzystuje zestawy rekordów NS typu apex po stronie dziecka z pamięci podręcznej zapytań NS strefy do rozwiązywania iteracyjnego. Poprzez wielokrotne odpytywanie rekordów NS strefy atakujący utrzymuje nieaktualny zestaw RR w pamięci podręcznej bezterminowo, pozwalając serwerom nazw, których delegacja została cofnięta przez rodzica, nadal odpowiadać za strefę.
- CVE-2026-123601Średnie
Hickory DNS hickory-proto 0.25.0 do 0.26.0-alpha.1 oraz hickory-net 0.26.0-beta.1 przed 0.26.2 odwracają operatory relacyjne w gałęzi wrap-around funkcji find_covering_record() w nsec3.rs, przez co ostatni rekord NSEC3 w pierścieniu hash strefy obejmuje każdy hash z wyjątkiem swojego właściciela. Atakujący zdolni do wstrzykiwania odpowiedzi DNS mogą odtworzyć ten rekord NSEC3 i jego RRSIG, aby sfałszować negatywne odpowiedzi walidowane przez DNSSEC, odmawiając istnienia legalnych nazw.
- CVE-2026-123600Średnie
Hickory DNS hickory-proto 0.25.0-alpha.3 do 0.25.2 oraz hickory-net 0.26.0-alpha.1 przed 0.26.2 zawierają błąd walidacji DNSSEC w DnssecDnsHandle, który akceptuje odpowiedzi NODATA podpisane NSEC3 dla zapytań o wierzchołek strefy jako bezpieczne bez rekordu NSEC3 pasującego do zahashowanej QNAME. Atakujący pośrednik lub złośliwy serwer autorytatywny mogą odtworzyć prawidłowo podpisany NSEC3 niebędący wierzchołkiem wraz z podpisanym SOA strefy, aby dostarczyć uwierzytelnione (AD=1) zaprzeczenie dowolnego typu RR wierzchołka na czas TTL negatywnej pamięci podręcznej.
- CVE-2026-123598Niskie
Rekursor walidujący w Hickory DNS hickory-recursor 0.25.0 do 0.26.0-alpha.1, hickory-resolver 0.26.0-alpha.1 przed 0.26.2 oraz hickory-net 0.26.0-beta.1 przed 0.26.2 buforuje odpowiedzi uznane za DNSSEC-bogus, używając niezaufanego TTL dostarczonego przez atakującego (ograniczonego do 24 godzin) zamiast krótkiego TTL błędu walidacji. Zdalny atakujący, który podszyje się pod pojedynczą odpowiedź autorytatywną z nieprawidłowym podpisem i długim TTL, może utrzymać fałszywy wynik w pamięci podręcznej przez maksymalnie 24 godziny.
- CVE-2026-123597Niskie
Hickory DNS hickory-proto 0.25.0-alpha.1 do 0.26.0-alpha.1 oraz hickory-net przed 0.26.2 zawierają błąd logiczny w ścieżce pobierania DS w DnssecDnsHandle, który buforuje przejściowe błędy wyszukiwania DS jako werdykty walidacji DNSSEC typu Bogus. Atakujący, który wywoła odpowiedź SERVFAIL, REFUSED lub timeout na podzapytanie DS strefy podrzędnej, powoduje, że walidator zwraca SERVFAIL dla wszystkich nazw w tej strefie do czasu wygaśnięcia wpisu w pamięci podręcznej.
- CVE-2026-123596Wysokie
Hickory DNS (hickory-proto do 0.26.0-alpha.1 i hickory-net 0.26.0-beta.1 przed 0.26.2) zawiera błąd walidacji DNSSEC w obsłudze NSEC walidującego rekursora, który akceptuje rekordy NSEC delegacji przodka po stronie rodzica jako dowód nieistnienia nazw poniżej punktu cięcia strefy. Atakujący w ścieżce, złośliwy serwer nazw rodzica lub atakujący wygrywający wyścig portu i TXID może dostarczyć jedną sfałszowaną odpowiedź NXDOMAIN zbudowaną z autentycznie podpisanych rekordów NSEC rodzica, powodując uwierzytelnione zaprzeczenie istniejących nazw strefy podrzędnej w pamięci podręcznej na czas ujemnego TTL.
- CVE-2026-123595Wysokie
Hickory DNS (hickory-proto 0.25 do 0.26.0-alpha.1 i hickory-net 0.26.0-beta.1 przed 0.26.2) zawiera błąd walidacji DNSSEC w obsłudze NSEC3 walidującego rekursora, który dopasowuje najbliższy obwód wyłącznie po hashu bez sprawdzania bitmapy typów, akceptując rekordy NSEC3 delegacji przodka po stronie rodzica jako dowód nieistnienia. Atakujący dostarczający jedną odpowiedź zbudowaną z autentycznie podpisanych rekordów NSEC3 rodzica może spowodować zapisanie NXDOMAIN lub NODATA z AD=1, odmawiając rozwiązywania istniejących nazw w punkcie cięcia strefy i poniżej.
- CVE-2026-123594Średnie
Hickory DNS hickory-proto do 0.26.0-alpha.1 oraz hickory-net 0.26.0-beta.1 przed 0.26.2 zawierają błąd walidacji NSEC, który zwraca bezpieczny dowód dla odpowiedzi NXDOMAIN, gdy Next Domain Name pokrywającego NSEC jest ścisłym potomkiem nazwy zapytania, co w rzeczywistości dowodzi, że nazwa istnieje jako pusty nieterminal. Atakujący pośrednik może zmienić niepodpisany kod odpowiedzi autentycznej podpisanej odpowiedzi NODATA z NOERROR na NXDOMAIN, powodując akceptację sfałszowanego nieistnienia nazwy przez walidatory.
Oryginalny opis (angielski, źródło NVD)
Hickory DNS hickory-proto before 0.26.0-beta.1 and hickory-net before 0.26.2 contain a DNSSEC validation bypass because verify_rrsets() ignores DNS class when partitioning RRsets, so non-IN records skip signature verification yet are marked secure when the IN records verify. Attackers able to supply DNS responses can include forged CH or HS class records, including DS records, to authenticate any DNSKEY and forge child zone responses.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS