CVE-2026-42254

ŚrednieCVSS 4.0

Opublikowano: 26/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Hickory DNS hickory-recursor w wersjach od 0.1 do 0.25.2 pozwala na zatruwanie między strefami (cross-zone poisoning), ponieważ dane w pamięci podręcznej nie są bezpośrednio powiązane z zapytaniem, które wywołało odpowiedź.

Ocena ryzyka

Atakujący może zatruć pamięć podręczną resolvera DNS i przekierować użytkowników do fałszywych zasobów. Może to prowadzić do phishingu lub przechwycenia ruchu.

Rekomendacja

Zaktualizuj hickory-recursor do wersji nowszej niż 0.25.2. Monitoruj nietypowe odpowiedzi DNS i rozważ walidację DNSSEC.

Inne podatności w hickory-recursor

CVE-2026-123606Wysokie
Rekursor hickory-dns w hickory-recursor od wersji 0.25.0-alpha.3 do 0.25.2 oraz hickory-resolver 0.26.0-alpha.1 przed wersją 0.26.2 iteruje po każdym celu NS spoza bailiwick bez glue w odesłaniu, bez żadnego budżetu pracy na zapytanie. Zdalni atakujący mogą serwować takie odesłania, aby wymusić wyszukiwania A i AAAA dla każdego celu, wzmacniając ruch przeciw zdalnym serwerom lub wyczerpując zasoby rekursora.

Oryginalny opis (angielski, źródło NVD)

Hickory DNS hickory-recursor 0.1 through 0.25.2 allows cross-zone poisoning because cached data is not directly associated with a query that triggered a response.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS