CVE-2026-83813 Falsificación de respuestas DNS en twisted.names por falta de validación de la dirección de origen

Qué es CVE-2026-83813

Antes de 26.10.0rc1, twisted.names.dns.DNSDatagramProtocol acepta una respuesta DNS UDP para una consulta pendiente cuando coincide su identificador de transacción de 16 bits, pero no verifica que la respuesta provenga del host y puerto consultados. Un atacante capaz de entregar un paquete al puerto de escucha del resolver con el identificador correcto puede inyectar una respuesta falsificada. El Resolver estándar usa un nuevo puerto de origen aleatorio por consulta, mientras que las aplicaciones que reutilizan…

Productos y versiones afectadas

• twisted

  • < 26.7.0rc1

Qué hacer

1. Verificá si usás twisted y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 3.1 BAJA

CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV)

Red adyacente

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Twisted is an event-based framework for internet applications, supporting Python 3.6+. Prior to 26.10.0rc1, twisted.names.dns.DNSDatagramProtocol accepts a UDP DNS response for a pending query when its 16-bit transaction ID matches but does not verify that the response came from the queried host and port. An attacker able to deliver a packet to the resolver's listening port with the correct transaction ID can inject a forged answer. The standard twisted.names.client.Resolver uses a new random source port for each query, increasing off-path attack complexity, while applications that reuse a DNSDatagramProtocol instance expose only the transaction-ID search space after the first query. A successful forgery can redirect hostname resolution and enable mail interception, server-side request forgery, or man-in-the-middle positioning. This issue is fixed in version 26.10.0rc1.

Referencias

• github.com/twisted/twisted/security/advisories/GHSA-jj36-9pvh-vj5rX_REFSOURCE_CONFIRM
• github.com/twisted/twisted/pull/12700X_REFSOURCE_MISC
• github.com/twisted/twisted/commit/b53e1c3477c209b5609a1c74cf9e48373b5879acX_REFSOURCE_MISC
• github.com/twisted/twisted/releases/tag/twisted-26.10.0rc1X_REFSOURCE_MISC

Historial de la alerta

1. 23 OCT · 18:38VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.