CVE-2026-39155

ŚrednieCVSS 6.5

Opublikowano: 23/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

W serwerze DNS Knot DNS przed wersjami 3.4.10 i 3.5.4 występuje podatność w module mod-onlinesign. Błędne obliczenie nazwy właściciela następnego rekordu NSEC może prowadzić do zbyt szerokiego przedziału uwierzytelnionej negacji. Pozwala to na syntezę negatywnych odpowiedzi dla prawidłowych nazw przez resolwery stosujące agresywne buforowanie negatywne, co powoduje odmowę usługi po stronie resolwera.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do blokowania dostępu do legalnych domen, powodując odmowę usługi dla użytkowników końcowych korzystających z resolwerów z agresywnym buforowaniem negatywnym.

Rekomendacja

Zaktualizuj Knot DNS do wersji 3.4.10 lub nowszej (dla gałęzi 3.4.x) albo do 3.5.4 lub nowszej (dla gałęzi 3.5.x).

Inne podatności w Knot DNS

CVE-2016-6171Wysokie
Knot DNS w wersjach przed 2.3.0 umożliwia zdalnym serwerom DNS wywołanie odmowy usługi poprzez dużą transfer strefy, co prowadzi do wyczerpania pamięci i awarii serwera podrzędnego.

Oryginalny opis (angielski, źródło NVD)

Knot DNS before 3.4.10 and 3.5.x before 3.5.4 contains a vulnerability in mod-onlinesign where the next NSEC owner name can be computed incorrectly. This can create an overly broad authenticated denial interval, allowing downstream validating resolvers using aggressive negative caching to synthesize negative answers for legitimate names and causing resolver-side denial of service.