CVE-2026-24029
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Gdy opcja early_acl_drop (earlyACLDrop w Lua) jest wyłączona (domyślnie włączona) na froncie DNS over HTTPS korzystającym z dostawcy nghttp2, kontrola ACL jest pomijana, co pozwala wszystkim klientom na wysyłanie zapytań DoH niezależnie od skonfigurowanej listy ACL.
Ocena ryzyka
Nieautoryzowani klienci mogą wykorzystać serwer DoH do przesyłania zapytań DNS, co może prowadzić do wycieku danych lub nadużycia zasobów serwera.
Rekomendacja
Zaleca się włączenie opcji early_acl_drop (lub earlyACLDrop) na froncie DoH oraz upewnienie się, że ACL są poprawnie skonfigurowane i egzekwowane.
Oryginalny opis (angielski, źródło NVD)
When the early_acl_drop (earlyACLDrop in Lua) option is disabled (default is enabled) on a DNS over HTTPs frontend using the nghttp2 provider, the ACL check is skipped, allowing all clients to send DoH queries regardless of the configured ACL.