- Yama var
- Son 7 gün
- CWE-835
CVE-2026-123607
Hickory DNS NSEC3 kapsayıcı kanıtı doğrulamasında sınırsız döngü hizmet reddi (DoS) açığı
- Yayımlandı
- Güncellendi
- 8 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, DNS hizmetinizin çalışmasını durdurabilecek yüksek riskli bir zafiyettir ve kolaylıkla istismar edilebilir. Etkilenen yazılım sürümlerini kullanan sistemlerde DNS kesintisi, web sitelerinin ve e-posta gibi servislerin erişilemez hale gelmesine yol açabilir. Bu nedenle etkilenen sistemlerin öncelikli olarak güncellenmesi önerilir.
ÖzetTürkçe
Hickory DNS'in DNSSEC doğrulama bileşeninde, NSEC3 kapsayıcı-yakın (closest-encloser) kanıtı doğrulanırken SOA kaydının sahibi QNAME'in bir üst etki alanı olmadığında sınırsız bir döngü oluşuyor. hickory-proto 0.25.0-alpha.3 ile 0.25.2 arasındaki sürümler ve hickory-net'in 0.26.1 öncesi sürümleri etkilenmiş durumda. Açık, üst kaynak (upstream) sunucuları kontrol eden saldırganların NoData veya NXDomain yanıtları içinde farklı bölgeye ait bir SOA kaydı göndermesiyle tetiklenebiliyor.
Saldırgan ne yapabilir?
Saldırgan, hata ayıklama (debug) derlemelerinde sürecin çökmesine, sürüm (release) derlemelerinde ise bellek tükenmesine neden olarak DNS çözümleyicisinin hizmet dışı kalmasını sağlayabilir.
Kaynaktaki açıklama (İngilizce)
Hickory DNS hickory-proto 0.25.0-alpha.3 through 0.25.2 and hickory-net before 0.26.1 contain an unbounded loop vulnerability in DnssecDnsHandle NSEC3 closest-encloser proof validation when the SOA owner is not an ancestor of the QNAME. Upstream attackers can return NoData or NXDomain responses with a cross-zone SOA record to panic debug builds or exhaust memory in release builds.
Ne yapmalı?
- hickory-dns bileşenini 0.26.1 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme yapamıyorsanız, DNSSEC doğrulamasının etkin olduğu çözümleyicilerde bellek kullanımını ve süreç çökmelerini izleyin ve gerekirse hizmeti yeniden başlatmaya hazır olun. Genel öneri
- Güvenilmeyen veya doğrulanamayan üst DNS sunucularının kullanımını sınırlayın, mümkünse yalnızca güvendiğiniz üst çözümleyicileri kullanın. Genel öneri
Ek önlemler
- Hickory DNS kullanan tüm sistemlerin envanterini çıkarın ve sürüm bilgilerini doğrulayın. Genel öneri
- DNS sunucusunun bellek tüketimi ve beklenmeyen yeniden başlatmalar için izleme ve uyarı kurallarını etkinleştirin. Genel öneri
- Üretim ortamına almadan önce yazılım güncellemelerini test ortamında doğrulayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| hickory-dns | ≥ 0.25.0-alpha.3, ≤ 0.25.2 | – |
| ≥ 0.26.0-alpha.1, < 0.26.1 | 0.26.1 | |
| 0.26.1 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.