https://alertas.dupin.com.ar/fabricante/hickory-dns/Alertas de vulnerabilidades de hickory-dns.esSun, 08 Nov 2026 03:59:57 +000010https://alertas.dupin.com.ar/cve/CVE-2026-123599/tg:64024Sun, 08 Nov 2026 03:59:57 +0000VulnerabilidadHickory DNS (hickory-proto antes de 0.26.0-beta.1 y hickory-net antes de 0.26.2) omite la verificación de firmas en registros de clase distinta de IN al particionar RRsets en verify_rrsets(), marcándolos como seguros si los registros IN verifican. Un atacante que pueda entregar respuestas DNS puede incluir registros forjados de clase CH o HS, incluidos registros DS, para autenticar cualquier DNSKEY y falsificar respuestas de zonas hijas.https://alertas.dupin.com.ar/cve/CVE-2026-123598/tg:64023Sun, 08 Nov 2026 03:59:57 +0000VulnerabilidadEl recursor validador de Hickory DNS (hickory-recursor 0.25.0 hasta 0.26.0-alpha.1, hickory-resolver 0.26.0-alpha.1 antes de 0.26.2 y hickory-net 0.26.0-beta.1 antes de 0.26.2) almacena en caché respuestas DNSSEC bogus usando el TTL no confiable provisto por el atacante, con tope de 24 horas, en lugar de un TTL corto de fallo de validación. Un atacante remoto que falsifique una única respuesta autoritativa con firma inválida y TTL largo puede mantener el resultado bogus en caché hasta 24 horas.https://alertas.dupin.com.ar/cve/CVE-2026-123596/tg:64022Sun, 08 Nov 2026 03:59:56 +0000VulnerabilidadHickory DNS (hickory-proto hasta 0.26.0-alpha.1 y hickory-net 0.26.0-beta.1 antes de 0.26.2) acepta en el manejador NSEC del recursor validador registros NSEC de delegación ancestro del lado del padre como prueba de inexistencia para nombres bajo el corte de zona. Un atacante en la ruta, un nameserver padre malicioso o un atacante que gane una carrera de puerto y TXID puede entregar una respuesta NXDOMAIN forjada construida con registros NSEC del padre genuinamente firmados, causando denegación autenticada de…https://alertas.dupin.com.ar/cve/CVE-2026-123597/tg:64021Sun, 08 Nov 2026 03:59:55 +0000VulnerabilidadHickory DNS (hickory-proto 0.25.0-alpha.1 hasta 0.26.0-alpha.1 y hickory-net antes de 0.26.2) almacena en caché errores transitorios de consulta DS como veredictos de validación DNSSEC Bogus en la ruta de obtención de DS de DnssecDnsHandle. Un atacante que induzca una respuesta SERVFAIL, REFUSED o un timeout a una subconsulta DS de zona hija provoca que el validador devuelva SERVFAIL para todos los nombres bajo esa zona hasta que expire el TTL de la entrada en caché.https://alertas.dupin.com.ar/cve/CVE-2026-123606/tg:64020Sun, 08 Nov 2026 03:59:54 +0000VulnerabilidadEl recursor hickory-dns (hickory-recursor 0.25.0-alpha.3 hasta 0.25.2 y hickory-resolver 0.26.0-alpha.1 antes de 0.26.2) itera cada objetivo NS fuera de bailiwick sin glue en una referencia sin límite de trabajo por consulta. Atacantes remotos pueden servir tales referencias para forzar búsquedas A y AAAA por objetivo, amplificando tráfico contra servidores remotos o agotando recursos del recursor.https://alertas.dupin.com.ar/cve/CVE-2026-123603/tg:64019Sun, 08 Nov 2026 03:59:51 +0000Vulnerabilidadhickory-proto y hickory-resolver 0.26.0 antes de 0.26.2, hickory-server 0.25.0-alpha.1 antes de 0.26.2 y hickory-recursor 0.25.0-alpha.3 hasta 0.26.0-alpha.1 no canonicalizan direcciones IPv6 mapeadas de IPv4 al verificar reglas deny_answers, deny_server o AccessControlSet. Los atacantes pueden usar direcciones IPv4-mapeadas para evadir el filtrado de respuestas, provocar consultas a nameservers denegados o alcanzar despliegues de la biblioteca hickory-server en sockets IPv6 dual-stack desde clientes denegados.https://alertas.dupin.com.ar/cve/CVE-2026-123608/tg:64018Sun, 08 Nov 2026 03:59:49 +0000VulnerabilidadHickory DNS hickory-proto desde 0.3.1 antes de 0.26.1 contiene una denegación de servicio en BinEncoder que permite a atacantes remotos agotar la CPU mediante compresión de nombres en tiempo cuadrático. Los atacantes pueden enviar mensajes DNS maliciosos con muchos registros que agregan muchas etiquetas candidatas y disparan escaneos lineales repetidos durante la codificación.https://alertas.dupin.com.ar/cve/CVE-2026-123607/tg:64017Sun, 08 Nov 2026 03:59:48 +0000VulnerabilidadHickory DNS (hickory-proto 0.25.0-alpha.3 hasta 0.25.2 y hickory-net antes de 0.26.1) contiene un bucle sin límite en la validación de prueba de closest-encloser NSEC3 de DnssecDnsHandle cuando el propietario del SOA no es ancestro del QNAME. Atacantes en la ruta pueden devolver respuestas NoData o NXDomain con un registro SOA de otra zona para provocar un panic en compilaciones debug o agotar memoria en compilaciones release.https://alertas.dupin.com.ar/cve/CVE-2026-123605/tg:64016Sun, 08 Nov 2026 03:59:48 +0000VulnerabilidadHickory DNS (hickory-proto 0.1 hasta 0.25.0-alpha.3 y hickory-net antes de 0.26.2) verifica un RRSIG contra la DNSKEY del nombre indicado en su campo Signer's Name sin comprobar que ese nombre sea la zona que contiene el RRset. Atacantes que controlen cualquier zona segura pueden producir firmas válidas sobre registros arbitrarios en zonas no relacionadas, que resolvers, recursors y clientes que usan DnssecDnsHandle aceptan como autenticados.https://alertas.dupin.com.ar/cve/CVE-2026-123604/tg:64015Sun, 08 Nov 2026 03:59:47 +0000VulnerabilidadHickory DNS hickory-resolver 0.26.0-beta.1 antes de 0.26.2 contiene un bucle de reintento sin límite en NameServerPool::try_send que reencola respuestas truncadas (TC) sin verificar el transporte que responde ni contar iteraciones. Un servidor autoritativo malicioso que devuelva TC=1 en todo transporte mantiene al resolver girando sobre una conexión TCP persistente hasta que expire el plazo de 5 segundos, causando agotamiento de recursos.