Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-290

CVE-2026-123580

Hickory-DNS NSEC3 doğrulamasında DNSSEC yokluk kanıtı sahteciliği

hickory-dns

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
8 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, şirketinizin DNS altyapısına duyulan güveni etkileyen yüksek riskli bir zafiyettir. Kullanılan yazılım güncellenmediği sürece kullanıcılar yanlış yönlendirilebilir ve hizmetlerde kesintiler yaşanabilir. Etkilenen sistemlerin öncelikli olarak güncellenmesi önerilir.

ÖzetTürkçe

Hickory-DNS'in hickory-net 0.26.0-beta.1 (0.26.2 öncesi) ve hickory-proto 0.26.0-alpha.1 ve öncesi sürümlerinde, DNSSEC doğrulaması sırasında NSEC3 kayıt adları yalnızca karma (hash) etiketine göre karşılaştırılmakta, kaydın doğru bölgeye ait olup olmadığı kontrol edilmemektedir. Saldırgan, eşleşen karma etiketine sahip başka bir bölgenin NSEC3 kayıtlarını sunarak DNSSEC yokluk kanıtlarını sahte biçimde üretebilir. Etkilenen sistemler, bu sürümlerdeki Hickory-DNS ile DNSSEC doğrulaması yapan çözümleyicilerdir.

Saldırgan ne yapabilir?

Saldırgan, var olmayan bir alan adının var olmadığına dair sahte doğrulanmış yanıtlar oluşturarak DNS çözümleyicisini yanıltabilir; bu da kullanıcıların yanlış yönlendirilmesine ya da alan adlarının çözümlenememesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Hickory DNS hickory-net 0.26.0-beta.1 before 0.26.2 and hickory-proto through 0.26.0-alpha.1 perform insufficient checks on NSEC3 record names during DNSSEC verification, comparing only the hashed label without confirming the record belongs to the correct zone. Attackers can supply NSEC3 records from another zone with a matching hash label to forge DNSSEC nonexistence proofs.

Ne yapmalı?

  1. Hickory-DNS'i 0.26.2 veya üzeri bir sürüme yükseltin. Üretici
  2. Yükseltme yapılana kadar, sunucularda çalışan hickory-net ve hickory-proto bileşenlerinin sürümlerini envanter kayıtlarından belirleyip etkilenen aralıkta olup olmadığını doğrulayın. Genel öneri
  3. Güncelleme sonrasında DNSSEC doğrulamalı çözümleyicinin beklendiği gibi çalıştığını test edin. Genel öneri

Ek önlemler

  • Güvenilmeyen ağlardan gelen DNS trafiğini izleyin ve DNSSEC doğrulama hatalarını ya da beklenmeyen yokluk yanıtlarını günlüklerden takip edin. Genel öneri
  • Çözümleyiciye erişimi yalnızca iç ağdaki yetkili istemcilerle sınırlandırın. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
hickory-dns ≥ 0.26.0-beta.1, < 0.26.2 0.26.2
0.26.2 Etkilenmiyor –
≤ 0.26.0-alpha.1 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.