VULNERABILIDADDetectada 08 NOV · 00:59

CVE-2026-123603 Evasión de control de acceso en Hickory DNS por falta de canonicalización IPv4-mapeada

hickory-proto y hickory-resolver 0.26.0 antes de 0.26.2, hickory-server 0.25.0-alpha.1 antes de 0.26.2 y hickory-recursor 0.25.0-alpha.3 hasta 0.26.0-alpha.1 no canonicalizan direcciones IPv6 mapeadas de IPv4 al verificar reglas deny_answers, deny_server o AccessControlSet. Los atacantes pueden usar direcciones IPv4-mapeadas para evadir el filtrado de respuestas, provocar consultas a nameservers denegados o alcanzar despliegues de la biblioteca hickory-server en sockets IPv6 dual-stack desde clientes denegados.

6.5MEDIA

CVSS 3.1

CVSS 4.06.9 · media
Probabilidad de explotación · EPSS del 09/110,2 % · percentil 5
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

hickory-dns
desde 0.25.0-alpha.3 hasta 0.26.0-alpha.1
hickory-dns
desde 0.26.0 hasta antes de 0.26.2
hickory-dns
desde 0.26.0 hasta antes de 0.26.2
hickory-dns
desde 0.25.0-alpha.1 hasta antes de 0.26.2

Qué hacer

Verificá si usás hickory-dns y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadBaja
IntegridadBaja
DisponibilidadNinguna

CVSS 4.0 · 6.9 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataqueNinguno
Privilegios requeridosNinguno
Interacción del usuarioNinguna
Confidencialidad (sistema vulnerable)Baja
Integridad (sistema vulnerable)Baja
Disponibilidad (sistema vulnerable)Ninguna
Confidencialidad (sistemas posteriores)Ninguna
Integridad (sistemas posteriores)Ninguna
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

hickory-proto and hickory-resolver 0.26.0 before 0.26.2, hickory-server 0.25.0-alpha.1 before 0.26.2, and hickory-recursor 0.25.0-alpha.3 through 0.26.0-alpha.1 fail to canonicalize IPv4-mapped IPv6 addresses when checking deny_answers, deny_server, or AccessControlSet rules. Attackers can use IPv4-mapped addresses to evade answer filtering, trigger queries to denied nameservers, or reach hickory-server library deployments on dual-stack IPv6 sockets from denied clients.

Referencias (2)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.