- Yama var
- Son 7 gün
- CWE-345
CVE-2026-123595
Hickory DNS'te NSEC3 işleyicisinde DNSSEC doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 8 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kullandığınız DNS çözümleyicisinin bazı var olan alan adlarını yanlışlıkla 'mevcut değil' gibi göstermesine yol açabilir ve bu da hizmet kesintisine ya da kullanıcıların doğru sitelere ulaşamamasına neden olabilir. Etkilenen sürümler sistemlerinizde kullanılıyorsa, güncelleme planlamasını öncelikli olarak ele almanız önerilir.
ÖzetTürkçe
Hickory DNS'in doğrulayan (validating) özyinelemeli çözümleyicisinde, NSEC3 işleyicisi en yakın kapsayıcıyı (closest encloser) yalnızca karma değeriyle eşleştiriyor ve tür bit dizisini (type bitmap) kontrol etmiyor. Bu nedenle üst bölge tarafındaki ata-delegasyon NSEC3 kayıtları, bir ismin var olmadığının kanıtı olarak kabul ediliyor. Etkilenen sürümler hickory-proto 0.25 ile 0.26.0-alpha.1 arası ve hickory-net 0.26.0-beta.1 sürümleri (0.26.2 öncesi) olarak belirtiliyor.
Saldırgan ne yapabilir?
Saldırgan, gerçekten imzalanmış üst bölge NSEC3 kayıtlarından oluşturduğu tek bir yanıtla NXDOMAIN veya NODATA sonucunu AD=1 bayrağıyla önbelleğe aldırabilir. Bu da bölge kesim noktasında ve altındaki var olan isimlerin çözümlenmesini engeller.
Kaynaktaki açıklama (İngilizce)
Hickory DNS hickory-proto 0.25 through 0.26.0-alpha.1 and hickory-net 0.26.0-beta.1 before 0.26.2 contain a DNSSEC validation flaw in the validating recursor's NSEC3 handler, which matches the closest encloser by hash alone without checking the type bitmap and so accepts parent-side ancestor-delegation NSEC3 records as proof of nonexistence. An attacker who delivers one response built from genuinely signed parent NSEC3 records can cause NXDOMAIN or NODATA to be cached with AD=1, denying resolution of existing names at and below the zone cut.
Ne yapmalı?
- Hickory DNS'i 0.26.2 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme sonrasında DNS çözümleyicisinin yeniden başlatıldığını ve yeni sürümün çalıştığını doğrulayın. Genel öneri
- Yükseltme yapılamıyorsa, DNS çözümleyicisine dışarıdan gelen sorguları ve yanıtları kısıtlayın ve sahte veya beklenmedik DNS yanıtlarına karşı izleme uygulayın. Genel öneri
Ek önlemler
- Çözümleyicinin önbelleğindeki beklenmedik NXDOMAIN veya NODATA yanıtlarını düzenli olarak izleyin. Genel öneri
- Kritik alan adlarının çözümlenmesini dış bir kaynakla karşılaştırarak doğrulayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| hickory-dns | ≥ 0.25, ≤ 0.26.0-alpha.1 | – |
| ≥ 0.26.0-beta.1, < 0.26.2 | 0.26.2 | |
| 0.26.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.