Hickory DNS DNSSEC Validation Cache Poisoning via Transient DS-Fetch Errors

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Hickory DNS hickory-proto 0.25.0-alpha.1 through 0.26.0-alpha.1 and hickory-net before 0.26.2 contain a logic bug in DnssecDnsHandle's DS-fetch path that caches transient DS lookup errors as Bogus DNSSEC validation verdicts. An attacker who induces a SERVFAIL, REFUSED, or timeout response to a child-zone DS sub-query causes the validator to return SERVFAIL for all names under that zone until the cache entry's TTL expires.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…ry-dns/security/advisories/GHSA-xv7c-h5g9-x25x Üretici bülteni
• vulncheck.com/…-cache-poisoning-via-transient-ds-fetch-errors Üçüncü taraf

Kayıt geçmişi

1. 8 Kas 2026 04:38Yayımlandı

İlgili açıklar

• 7,5 CVE-2026-123608Hickory DNS hickory-proto DNS mesajı kodlayıcısında CPU tükenmesi (hizmet reddi)
• 7,5 CVE-2026-123607Hickory DNS NSEC3 kapsayıcı kanıtı doğrulamasında sınırsız döngü hizmet reddi (DoS) açığı
• 8,8 CVE-2026-123605Hickory DNS'te RRSIG imzalayıcı adına dayalı DNSSEC doğrulama atlatma açığı
• 7,5 CVE-2026-123606Hickory-DNS özyineleyici çözümleyicide glueless NS yönlendirmeleriyle kaynak tükenmesi ve trafik yükseltme
• 7,5 CVE-2026-123604Hickory DNS çözümleyicisinde TC-yeniden deneme döngüsü nedeniyle kaynak tükenmesi (DoS)
• 6,5 CVE-2026-123603Hickory DNS Missing IPv4-Mapped IPv6 Canonicalization Access Control Bypass