CVE-2026-123602
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Rekursor Hickory DNS we wszystkich wersjach hickory-recursor oraz w hickory-resolver 0.26.0-beta.1 przed 0.26.2 (funkcja recursor) jest podatny na ataki ghost domain names, ponieważ ponownie wykorzystuje zestawy rekordów NS typu apex po stronie dziecka z pamięci podręcznej zapytań NS strefy do rozwiązywania iteracyjnego. Poprzez wielokrotne odpytywanie rekordów NS strefy atakujący utrzymuje nieaktualny zestaw RR w pamięci podręcznej bezterminowo, pozwalając serwerom nazw, których delegacja została cofnięta przez rodzica, nadal odpowiadać za strefę.
Ocena ryzyka
Atakujący może utrzymać kontrolę nad strefą DNS mimo cofnięcia delegacji, co może prowadzić do przekierowywania ruchu lub fałszowania odpowiedzi DNS.
Rekomendacja
Zaktualizuj hickory-recursor i hickory-resolver do wersji 0.26.2 lub nowszej, aby naprawić podatność na ataki ghost domain.
Inne podatności w Hickory DNS
Zobacz wszystkie- CVE-2026-123604Wysokie
W bibliotece Hickory DNS (hickory-resolver 0.26.0-beta.1 przed 0.26.2) występuje nieograniczona pętla ponowień w NameServerPool::try_send, która ponownie kolejkuje obcięte odpowiedzi (TC) bez sprawdzania transportu i liczby iteracji. Złośliwy serwer autorytatywny zwracający TC=1 na każdym transporcie utrzymuje resolver w pętli na trwałym połączeniu TCP aż do wygaśnięcia 5-sekundowego terminu, powodując wyczerpanie zasobów.
- CVE-2026-123603Średnie
hickory-proto i hickory-resolver 0.26.0 przed 0.26.2, hickory-server 0.25.0-alpha.1 przed 0.26.2 oraz hickory-recursor 0.25.0-alpha.3 do 0.26.0-alpha.1 nie kanonikalizują adresów IPv6 mapowanych na IPv4 podczas sprawdzania reguł deny_answers, deny_server lub AccessControlSet. Atakujący mogą użyć adresów mapowanych IPv4, aby ominąć filtrowanie odpowiedzi, wywołać zapytania do zabronionych serwerów nazw lub dotrzeć do wdrożeń biblioteki hickory-server na gniazdach dual-stack IPv6 od zabronionych klientów.
- CVE-2026-123601Średnie
Hickory DNS hickory-proto 0.25.0 do 0.26.0-alpha.1 oraz hickory-net 0.26.0-beta.1 przed 0.26.2 odwracają operatory relacyjne w gałęzi wrap-around funkcji find_covering_record() w nsec3.rs, przez co ostatni rekord NSEC3 w pierścieniu hash strefy obejmuje każdy hash z wyjątkiem swojego właściciela. Atakujący zdolni do wstrzykiwania odpowiedzi DNS mogą odtworzyć ten rekord NSEC3 i jego RRSIG, aby sfałszować negatywne odpowiedzi walidowane przez DNSSEC, odmawiając istnienia legalnych nazw.
- CVE-2026-123600Średnie
Hickory DNS hickory-proto 0.25.0-alpha.3 do 0.25.2 oraz hickory-net 0.26.0-alpha.1 przed 0.26.2 zawierają błąd walidacji DNSSEC w DnssecDnsHandle, który akceptuje odpowiedzi NODATA podpisane NSEC3 dla zapytań o wierzchołek strefy jako bezpieczne bez rekordu NSEC3 pasującego do zahashowanej QNAME. Atakujący pośrednik lub złośliwy serwer autorytatywny mogą odtworzyć prawidłowo podpisany NSEC3 niebędący wierzchołkiem wraz z podpisanym SOA strefy, aby dostarczyć uwierzytelnione (AD=1) zaprzeczenie dowolnego typu RR wierzchołka na czas TTL negatywnej pamięci podręcznej.
- CVE-2026-123599Niskie
Hickory DNS hickory-proto w wersjach przed 0.26.0-beta.1 oraz hickory-net w wersjach przed 0.26.2 zawierają obejście walidacji DNSSEC, ponieważ verify_rrsets() ignoruje klasę DNS przy partycjonowaniu RRsetów, przez co rekordy inne niż IN pomijają weryfikację podpisu, ale są oznaczane jako bezpieczne, gdy rekordy IN przejdą weryfikację. Atakujący mogący dostarczyć odpowiedzi DNS może dołączyć sfałszowane rekordy klasy CH lub HS, w tym rekordy DS, aby uwierzytelnić dowolny DNSKEY i sfałszować odpowiedzi strefy podrzędnej.
- CVE-2026-123598Niskie
Rekursor walidujący w Hickory DNS hickory-recursor 0.25.0 do 0.26.0-alpha.1, hickory-resolver 0.26.0-alpha.1 przed 0.26.2 oraz hickory-net 0.26.0-beta.1 przed 0.26.2 buforuje odpowiedzi uznane za DNSSEC-bogus, używając niezaufanego TTL dostarczonego przez atakującego (ograniczonego do 24 godzin) zamiast krótkiego TTL błędu walidacji. Zdalny atakujący, który podszyje się pod pojedynczą odpowiedź autorytatywną z nieprawidłowym podpisem i długim TTL, może utrzymać fałszywy wynik w pamięci podręcznej przez maksymalnie 24 godziny.
- CVE-2026-123597Niskie
Hickory DNS hickory-proto 0.25.0-alpha.1 do 0.26.0-alpha.1 oraz hickory-net przed 0.26.2 zawierają błąd logiczny w ścieżce pobierania DS w DnssecDnsHandle, który buforuje przejściowe błędy wyszukiwania DS jako werdykty walidacji DNSSEC typu Bogus. Atakujący, który wywoła odpowiedź SERVFAIL, REFUSED lub timeout na podzapytanie DS strefy podrzędnej, powoduje, że walidator zwraca SERVFAIL dla wszystkich nazw w tej strefie do czasu wygaśnięcia wpisu w pamięci podręcznej.
- CVE-2026-123596Wysokie
Hickory DNS (hickory-proto do 0.26.0-alpha.1 i hickory-net 0.26.0-beta.1 przed 0.26.2) zawiera błąd walidacji DNSSEC w obsłudze NSEC walidującego rekursora, który akceptuje rekordy NSEC delegacji przodka po stronie rodzica jako dowód nieistnienia nazw poniżej punktu cięcia strefy. Atakujący w ścieżce, złośliwy serwer nazw rodzica lub atakujący wygrywający wyścig portu i TXID może dostarczyć jedną sfałszowaną odpowiedź NXDOMAIN zbudowaną z autentycznie podpisanych rekordów NSEC rodzica, powodując uwierzytelnione zaprzeczenie istniejących nazw strefy podrzędnej w pamięci podręcznej na czas ujemnego TTL.
- CVE-2026-123595Wysokie
Hickory DNS (hickory-proto 0.25 do 0.26.0-alpha.1 i hickory-net 0.26.0-beta.1 przed 0.26.2) zawiera błąd walidacji DNSSEC w obsłudze NSEC3 walidującego rekursora, który dopasowuje najbliższy obwód wyłącznie po hashu bez sprawdzania bitmapy typów, akceptując rekordy NSEC3 delegacji przodka po stronie rodzica jako dowód nieistnienia. Atakujący dostarczający jedną odpowiedź zbudowaną z autentycznie podpisanych rekordów NSEC3 rodzica może spowodować zapisanie NXDOMAIN lub NODATA z AD=1, odmawiając rozwiązywania istniejących nazw w punkcie cięcia strefy i poniżej.
- CVE-2026-123594Średnie
Hickory DNS hickory-proto do 0.26.0-alpha.1 oraz hickory-net 0.26.0-beta.1 przed 0.26.2 zawierają błąd walidacji NSEC, który zwraca bezpieczny dowód dla odpowiedzi NXDOMAIN, gdy Next Domain Name pokrywającego NSEC jest ścisłym potomkiem nazwy zapytania, co w rzeczywistości dowodzi, że nazwa istnieje jako pusty nieterminal. Atakujący pośrednik może zmienić niepodpisany kod odpowiedzi autentycznej podpisanej odpowiedzi NODATA z NOERROR na NXDOMAIN, powodując akceptację sfałszowanego nieistnienia nazwy przez walidatory.
Oryginalny opis (angielski, źródło NVD)
The Hickory DNS recursor in all versions of hickory-recursor and in hickory-resolver 0.26.0-beta.1 before 0.26.2 (recursor feature) is vulnerable to ghost domain names attacks because it reuses child-side apex NS RRsets cached from zone NS queries for iterative resolution. By repeatedly querying a zone's NS records, an attacker keeps the stale RRset cached indefinitely, letting name servers whose delegation the parent revoked keep answering for the zone.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS