- Yama var
- Son 7 gün
- CWE-347
CVE-2026-123605
Hickory DNS'te RRSIG imzalayıcı adına dayalı DNSSEC doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 8 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, DNS doğrulama mekanizmasının güvenini zayıflatarak sahte alan adı yanıtlarının kabul edilmesine yol açabilir. Etkilenen sistemlerde kullanıcılar yanlış sitelere yönlendirilebilir ve bu da veri kaybı veya dolandırıcılık riski doğurabilir. Yazılımın güncellenmesi öncelikli bir iş görevi olarak ele alınmalıdır.
ÖzetTürkçe
Hickory DNS'in hickory-proto (0.1 ile 0.25.0-alpha.3 arası) ve 0.26.2 öncesi hickory-net sürümlerinde, doğrulayıcı RRSIG kaydını, Signer's Name alanında yer alan adın bağlı olduğu bölge olup olmadığını kontrol etmeden o adın DNSKEY'i ile doğrulamaktadır. Bu nedenle DNSSEC doğrulaması atlatılabilmektedir. Etkilenen sürümleri kullanan çözümleyiciler, özyineleyiciler ve DnssecDnsHandle kullanan istemciler etkilenmektedir.
Saldırgan ne yapabilir?
Herhangi bir güvenli bölgeyi kontrol eden bir saldırgan, ilgisiz bölgelerdeki rastgele kayıtlar için geçerli imzalar üretebilir ve bu sahte kayıtlar doğrulanmış gibi kabul edilebilir.
Kaynaktaki açıklama (İngilizce)
Hickory DNS hickory-proto 0.1 through 0.25.0-alpha.3 and hickory-net before 0.26.2 contain a DNSSEC validation bypass because the validator verifies an RRSIG against the DNSKEY of whatever name appears in its Signer's Name field without checking that this name is the zone containing the RRset. Attackers controlling any secure zone can produce valid signatures over arbitrary records in unrelated zones, which resolvers, recursors, and clients using DnssecDnsHandle accept as authenticated.
Ne yapmalı?
- Hickory DNS'i 0.26.2 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme yapılamıyorsa, DnssecDnsHandle kullanan uygulamaların ve çözümleyicilerin güvenilmeyen bölgelerden gelen yanıtlara dayanmadığını doğrulayın ve mümkünse bu bileşenleri geçici olarak devre dışı bırakın. Genel öneri
- Yükseltme sonrasında hickory-proto ve hickory-net sürümlerinin güncellendiğini doğrulayın. Genel öneri
Ek önlemler
- DNS sunucularınızın sürüm bilgilerini düzenli olarak envanterleyin ve güvenlik bültenlerini takip edin. Genel öneri
- Beklenmeyen alan adı çözümleme davranışları veya DNSSEC doğrulama hataları için DNS sorgu günlüklerini izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| hickory-dns | ≥ 0.1, ≤ 0.25.0-alpha.3 | – |
| ≥ 0.26.0-beta.1, < 0.26.2 | 0.26.2 | |
| 0.26.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.