Hickory DNS hickory-proto 0.25.0-alpha.3 through 0.25.2 NSEC3 Apex NODATA Validation Bypass

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Hickory DNS hickory-proto 0.25.0-alpha.3 through 0.25.2 and hickory-net 0.26.0-alpha.1 before 0.26.2 contain a DNSSEC validation flaw in DnssecDnsHandle that accepts NSEC3-signed NODATA responses for zone-apex queries as secure without an NSEC3 record matching the hashed QNAME. On-path attackers or malicious authoritative servers can replay a validly signed non-apex NSEC3 with the zone's signed SOA to serve an authenticated (AD=1) denial of any apex RRtype for the negative-cache TTL.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…ry-dns/security/advisories/GHSA-3jvh-8vj5-65rq Üretici bülteni
• vulncheck.com/…ugh-0.25.2-nsec3-apex-nodata-validation-bypass Üçüncü taraf

Kayıt geçmişi

1. 8 Kas 2026 04:38Yayımlandı

İlgili açıklar

• 7,5 CVE-2026-123608Hickory DNS hickory-proto DNS mesajı kodlayıcısında CPU tükenmesi (hizmet reddi)
• 7,5 CVE-2026-123607Hickory DNS NSEC3 kapsayıcı kanıtı doğrulamasında sınırsız döngü hizmet reddi (DoS) açığı
• 8,8 CVE-2026-123605Hickory DNS'te RRSIG imzalayıcı adına dayalı DNSSEC doğrulama atlatma açığı
• 7,5 CVE-2026-123606Hickory-DNS özyineleyici çözümleyicide glueless NS yönlendirmeleriyle kaynak tükenmesi ve trafik yükseltme
• 7,5 CVE-2026-123604Hickory DNS çözümleyicisinde TC-yeniden deneme döngüsü nedeniyle kaynak tükenmesi (DoS)
• 6,5 CVE-2026-123603Hickory DNS Missing IPv4-Mapped IPv6 Canonicalization Access Control Bypass