CVE-2026-123605 Evasión de validación DNSSEC en Hickory DNS por Signer's Name de RRSIG
Hickory DNS (hickory-proto 0.1 hasta 0.25.0-alpha.3 y hickory-net antes de 0.26.2) verifica un RRSIG contra la DNSKEY del nombre indicado en su campo Signer's Name sin comprobar que ese nombre sea la zona que contiene el RRset. Atacantes que controlen cualquier zona segura pueden producir firmas válidas sobre registros arbitrarios en zonas no relacionadas, que resolvers, recursors y clientes que usan DnssecDnsHandle aceptan como autenticados.
CVSS 3.1
- CVSS 4.08.7 · alta
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 14
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
hickory-dns
desde 0.1 hasta 0.25.0-alpha.3
hickory-dns
desde 0.26.0-beta.1 hasta antes de 0.26.2
Qué hacer
- Verificá si usás hickory-dns y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.8 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
CVSS 4.0 · 8.7 ALTA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Hickory DNS hickory-proto 0.1 through 0.25.0-alpha.3 and hickory-net before 0.26.2 contain a DNSSEC validation bypass because the validator verifies an RRSIG against the DNSKEY of whatever name appears in its Signer's Name field without checking that this name is the zone containing the RRset. Attackers controlling any secure zone can produce valid signatures over arbitrary records in unrelated zones, which resolvers, recursors, and clients using DnssecDnsHandle accept as authenticated.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.