CVE-2026-18664
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Gdy do kontroli dostępu używane są zakresy adresów IP (np. 1.2.3.4-1.2.3.25), NSD błędnie porównuje adres IP z zakresem na systemach little-endian, co może powodować odmowę dostępu dla adresów, które powinny być dozwolone, lub przyznanie dostępu adresom, które powinny być zablokowane.
Ocena ryzyka
Błędne porównanie adresów IP może prowadzić do naruszenia polityki bezpieczeństwa, umożliwiając nieautoryzowany dostęp lub blokując legalnych użytkowników.
Rekomendacja
Zaktualizuj NSD do wersji zawierającej poprawkę i zweryfikuj konfigurację reguł dostępu opartych na zakresach.
Inne podatności w NSD
Zobacz wszystkie- CVE-2026-19401Wysokie
Każdy zdalny klient może doprowadzić do awarii procesu serwera NSD (w wersji debugowania/nie-release) poprzez wysłanie specjalnie spreparowanej wiadomości z odpowiednią liczbą opcji DNS Cookie (17 przy rozmiarze ładunku UDP 512). Ciągłe awarie mogą poważnie utrudnić lub całkowicie uniemożliwić świadczenie usług DNS.
- CVE-2026-18916Średnie
Każdy zdalny klient może spowodować awarię procesu serwera NSD, ograniczając okno odbiorcze TCP po zapytaniu TCP. Poprzez ciągłe powodowanie awarii procesów serwera, zdalny klient może odmówić całego ruchu TCP dla tej instancji NSD.
Oryginalny opis (angielski, źródło NVD)
When ranges are used for access control (i.e. of the form 1.2.3.4-1.2.3.25), because NSD wrongly compares the IP address with the range on little endian systems, IPs that were meant to be allowed may be denied, and, IPs that were meant to be denied access could be allowed. An IPv4 address is compared with IPv4 ranges as unsigned 32 bit numbers directly with the endianness of the host, but the values to compare are in network byte order (big-endian). With IPv6 addresses the comparison is done in 4 times a unsigned 32 bit number comparison, again with the endianness of the host where all values are actually in network bye order.