- Yama var
- Son 7 gün
- CWE-345
CVE-2026-123596
Hickory DNS DNSSEC doğrulama atlatma (NSEC kayıtları ile sahte NXDOMAIN)
- Yayımlandı
- Güncellendi
- 8 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, DNS çözümleyicinizin var olan bazı internet adreslerini yanlış biçimde 'bulunamadı' olarak göstermesine yol açabilir. Saldırgan, ağ trafiğine müdahale ederek ya da DNS yanıtlarını tahmin ederek bunu yapabilir ve bu durum web sitelerine, e-postaya ve iş uygulamalarına erişimi bir süre kesebilir. Yazılımın güncellenmesi acil öncelik taşımaktadır.
ÖzetTürkçe
Hickory DNS'in validating recursor bileşenindeki NSEC işleyicisi, alt bölge sınırının üstündeki (ebeveyn tarafındaki) ancestor-delegation NSEC kayıtlarını, bölge sınırının altındaki adlar için varlık yokluğu kanıtı olarak kabul etmektedir. Bu hata hickory-proto 0.26.0-alpha.1 ve dahil sürümlerini, hickory-net 0.26.0-beta.1 sürümünü ve 0.26.2 öncesi sürümleri etkilemektedir. Bu nedenle DNSSEC doğrulamalı çözümleyiciler etkilenmektedir.
Saldırgan ne yapabilir?
Saldırgan, gerçek ve imzalı ebeveyn NSEC kayıtlarından oluşturduğu tek bir sahte NXDOMAIN yanıtı ile var olan alt bölge adlarının negatif TTL süresince önbellekte doğrulanmış biçimde var olmadığı şeklinde yanıltıcı bir kayıt oluşturabilir ve bu adlara erişimi kesebilir.
Kaynaktaki açıklama (İngilizce)
Hickory DNS hickory-proto through 0.26.0-alpha.1 and hickory-net 0.26.0-beta.1 before 0.26.2 contain a DNSSEC validation flaw in the validating recursor's NSEC handler that accepts parent-side ancestor-delegation NSEC records as proof of nonexistence for names below the zone cut. An on-path attacker, rogue parent nameserver, or attacker winning a port and TXID race can deliver one forged NXDOMAIN response built from genuinely signed parent NSEC records, causing authenticated denial of existing child-zone names cached for the negative TTL.
Ne yapmalı?
- Hickory DNS'i 0.26.2 sürümüne yükseltin. Bu sürüm etkilenen tüm sürüm aralıklarını kapatmaktadır. Üretici
- Yükseltmeden sonra DNS çözümleyici hizmetini yeniden başlatın ve sürüm numarasının 0.26.2 olduğunu doğrulayın. Genel öneri
- Güncelleme yapamıyorsanız, çözümleyiciyi DNSSEC doğrulamasını destekleyen başka bir güvenilir çözümleyiciye geçici olarak yönlendirmeyi değerlendirin. Genel öneri
Ek önlemler
- Çözümleyicinin ağ trafiğini ve dış erişim kayıtlarını, beklenmeyen NXDOMAIN yanıtları açısından izleyin. Genel öneri
- Çözümleyici ile kullanıcılar arasındaki ağ segmentlerinde yetkisiz trafik dinlemesini engelleyin. Genel öneri
- DNS yanıtlarında kaynak port ve işlem kimliği (TXID) rastgeleliğinin etkin olduğunu doğrulayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| hickory-dns | ≤ 0.26.0-alpha.1 | – |
| ≥ 0.26.0-beta.1, < 0.26.2 | 0.26.2 | |
| 0.26.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.