CVE-2026-123598 Envenenamiento de caché DNSSEC en Hickory DNS por respuestas bogus
El recursor validador de Hickory DNS (hickory-recursor 0.25.0 hasta 0.26.0-alpha.1, hickory-resolver 0.26.0-alpha.1 antes de 0.26.2 y hickory-net 0.26.0-beta.1 antes de 0.26.2) almacena en caché respuestas DNSSEC bogus usando el TTL no confiable provisto por el atacante, con tope de 24 horas, en lugar de un TTL corto de fallo de validación. Un atacante remoto que falsifique una única respuesta autoritativa con firma inválida y TTL largo puede mantener el resultado bogus en caché hasta 24 horas.
CVSS 3.1
- CVSS 4.06.3 · media
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 18
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
hickory-dns
desde 0.25.0 hasta 0.26.0-alpha.1
hickory-dns
desde 0.26.0-alpha.1 hasta antes de 0.26.2
hickory-dns
desde 0.26.0-beta.1 hasta antes de 0.26.2
Qué hacer
- Verificá si usás hickory-dns y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 3.7 BAJA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadNinguna
- DisponibilidadBaja
CVSS 4.0 · 6.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
The validating recursor in Hickory DNS hickory-recursor 0.25.0 through 0.26.0-alpha.1, hickory-resolver 0.26.0-alpha.1 before 0.26.2, and hickory-net 0.26.0-beta.1 before 0.26.2 caches DNSSEC-bogus answers using the untrusted, attacker-supplied record TTL (capped at 24 hours) instead of a short validation-failure TTL. A remote attacker who spoofs a single authoritative response with an invalid signature and a long TTL can keep the bogus result cached for up to 24 hours.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.