CVE-2025-62408
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
c-ares, biblioteka asynchronicznego resolvera DNS, w wersjach od 1.32.3 do 1.34.5 kończy zapytanie po osiągnięciu maksymalnej liczby prób podczas korzystania z read_answer() i process_answer(). Może to powodować odmowę usługi (Denial of Service). Problem naprawiono w wersji 1.34.6.
Ocena ryzyka
Atakujący może wywołać odmowę usługi w aplikacjach korzystających z c-ares, powodując niedostępność rozwiązywania nazw. Może to zakłócić działanie usług zależnych od DNS.
Rekomendacja
Zaktualizuj bibliotekę c-ares do wersji 1.34.6 lub nowszej. Zidentyfikuj aplikacje korzystające z c-ares i zaplanuj ich aktualizację.
Inne podatności w c-ares
Zobacz wszystkie- CVE-2017-1000381Wysokie
Funkcja `ares_parse_naptr_reply()` w bibliotece c-ares może odczytywać pamięć poza podanym buforem wejściowym, jeśli przekazany pakiet odpowiedzi DNS został odpowiednio skonstruowany.
- CVE-2016-5180Krytyczne
W funkcji ares_create_query w c-ares w wersjach 1.x przed 1.12.0 występuje przepełnienie bufora oparte na stercie, które pozwala zdalnym atakującym na spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu poprzez nazwę hosta z ucieczką na końcu.
- CVE-2026-69186Średnie
W bibliotece c-ares przed wersją 1.34.7 funkcja ares_dns_parse() ufała polom ANCOUNT, NSCOUNT i ARCOUNT kontrolowanym przez atakującego, zanim potwierdziła, że odpowiedź DNS zawiera wystarczającą liczbę bajtów. Złośliwa odpowiedź DNS mogła powodować rezerwację nieproporcjonalnie dużej pamięci sterty dla małej wiadomości, prowadząc do degradacji lub odmowy rozwiązywania nazw.
- CVE-2026-69184Wysokie
c-ares to asynchroniczna biblioteka resolvera DNS. W wersjach przed 1.34.7 funkcja ares_dns_name_parse() wymusza wsteczne wskaźniki kompresji DNS, ale nie ogranicza całkowitej liczby przeskoków wskaźników ani długości składanej nazwy. Złośliwy serwer DNS może wysłać odpowiedź z długim łańcuchem zstępujących wskaźników i wieloma rekordami zasobów, powodując powtarzalną dekompresję o złożoności kwadratowej.
- CVE-2026-33630Wysokie
c-ares to biblioteka asynchronicznego resolwera. Od wersji 1.32.3 do 1.34.7 występuje use-after-free / double-free w obsłudze zakończenia zapytań. Ten sam błąd – wywołanie callbacku zapytania, gdy zapytanie jest nadal powiązane z wewnętrznymi strukturami wyszukiwania kanału – występuje w wielu miejscach ścieżki ponownego wysyłania/kończenia.
Oryginalny opis (angielski, źródło NVD)
c-ares is an asynchronous resolver library. Versions 1.32.3 through 1.34.5 terminate a query after maximum attempts when using read_answer() and process_answer(), which can cause a Denial of Service. This issue is fixed in version 1.34.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS