CVE-2026-123596 Evasión de validación DNSSEC en Hickory DNS mediante NSEC de delegación ancestro
Hickory DNS (hickory-proto hasta 0.26.0-alpha.1 y hickory-net 0.26.0-beta.1 antes de 0.26.2) acepta en el manejador NSEC del recursor validador registros NSEC de delegación ancestro del lado del padre como prueba de inexistencia para nombres bajo el corte de zona. Un atacante en la ruta, un nameserver padre malicioso o un atacante que gane una carrera de puerto y TXID puede entregar una respuesta NXDOMAIN forjada construida con registros NSEC del padre genuinamente firmados, causando denegación autenticada de…
CVSS 3.1
- CVSS 4.08.7 · alta
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 8
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
hickory-dns
hasta 0.26.0-alpha.1
hickory-dns
desde 0.26.0-beta.1 hasta antes de 0.26.2
Qué hacer
- Verificá si usás hickory-dns y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.8 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
CVSS 4.0 · 8.7 ALTA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Hickory DNS hickory-proto through 0.26.0-alpha.1 and hickory-net 0.26.0-beta.1 before 0.26.2 contain a DNSSEC validation flaw in the validating recursor's NSEC handler that accepts parent-side ancestor-delegation NSEC records as proof of nonexistence for names below the zone cut. An on-path attacker, rogue parent nameserver, or attacker winning a port and TXID race can deliver one forged NXDOMAIN response built from genuinely signed parent NSEC records, causing authenticated denial of existing child-zone names cached for the negative TTL.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.