CVE-2026-12725
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 — wyżej niż 33% wszystkich znanych CVE
Streszczenie
W dnsmasq odkryto przepełnienie bufora sterty. Gdy włączona jest walidacja DNSSEC i logowanie zapytań, logowanie odpowiedzi DS lub DNSKEY zawierających nieobsługiwane typy algorytmów lub skrótów może spowodować zapis poza koniec wewnętrznego bufora logowania. Zdalny atakujący może dostarczyć taką odpowiedź DNS, powodując awarię procesu dnsmasq i odmowę usługi.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego spowodowania awarii usługi DNS, co prowadzi do przerwania działania sieci i aplikacji zależnych od rozwiązywania nazw.
Rekomendacja
Zaleca się natychmiastową aktualizację dnsmasq do najnowszej wersji zawierającej poprawkę. Do czasu aktualizacji można tymczasowo wyłączyć walidację DNSSEC lub logowanie zapytań, jeśli nie są niezbędne.
Oryginalny opis (angielski, źródło NVD)
A heap-based buffer overflow was found in dnsmasq. When DNSSEC validation and query logging are both enabled, logging of DS or DNSKEY replies containing unsupported algorithm or digest types can cause dnsmasq to write past the end of an internal logging buffer. A remote attacker able to supply such a DNS response may crash the dnsmasq process, resulting in denial of service.