CVE-2026-18664
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Gdy do kontroli dostępu używane są zakresy adresów IP (np. 1.2.3.4-1.2.3.25), NSD błędnie porównuje adres IP z zakresem na systemach little-endian, co może powodować odmowę dostępu dla adresów, które powinny być dozwolone, lub przyznanie dostępu adresom, które powinny być zablokowane.
Ocena ryzyka
Błędne porównanie adresów IP może prowadzić do naruszenia polityki bezpieczeństwa, umożliwiając nieautoryzowany dostęp lub blokując legalnych użytkowników.
Rekomendacja
Zaktualizuj NSD do wersji zawierającej poprawkę i zweryfikuj konfigurację reguł dostępu opartych na zakresach.
Inne podatności w NSD
Zobacz wszystkie- CVE-2026-101341Wysokie
Podatność w NSD dotyczy tokenów tekstu w RDATA (np. rekordów TXT) o długości poniżej 32 bajtów, które nie są sprawdzane pod kątem pozostania w zarezerwowanym obszarze, co pozwala na zapisy poza stosem o dowolnym rozmiarze, w tym nadpisanie wskaźnika funkcji wywołania zwrotnego.
- CVE-2026-101339Wysokie
Podatność w NSD dotyczy rekordu HIP, który wypełnia RDATA blisko limitu i zawiera dodatkowe pole dname (serwer rendezvous HIP), co może nadpisać stos danymi kontrolowanymi przez atakującego (do 191 bajtów).
- CVE-2026-101338Wysokie
Podatność w NSD dotyczy rekordów SVCB lub HTTPS, które wypełniają RDATA do granicy, a dodatkowy parametr ECH może nadpisać stos, a po przekroczeniu limitu dekoder base64 może zapisać nieograniczoną ilość danych kontrolowanych przez atakującego.
- CVE-2026-101337Wysokie
Podatność w NSD dotyczy danych base64 podzielonych na fragmenty o długości 3 znaków lub mniej, gdzie tokeny są niepoprawnie obliczane jako 0 bajtów, co umożliwia atakującym nadpisanie stosu danymi kontrolowanymi przez atakującego (do 64K).
- CVE-2026-19401Wysokie
Każdy zdalny klient może doprowadzić do awarii procesu serwera NSD (w wersji debugowania/nie-release) poprzez wysłanie specjalnie spreparowanej wiadomości z odpowiednią liczbą opcji DNS Cookie (17 przy rozmiarze ładunku UDP 512). Ciągłe awarie mogą poważnie utrudnić lub całkowicie uniemożliwić świadczenie usług DNS.
- CVE-2026-18916Wysokie
Każdy zdalny klient może spowodować awarię procesu serwera NSD, ograniczając okno odbiorcze TCP po zapytaniu TCP. Poprzez ciągłe powodowanie awarii procesów serwera, zdalny klient może odmówić całego ruchu TCP dla tej instancji NSD.
Oryginalny opis (angielski, źródło NVD)
When ranges are used for access control (i.e. of the form 1.2.3.4-1.2.3.25), because NSD wrongly compares the IP address with the range on little endian systems, IPs that were meant to be allowed may be denied, and, IPs that were meant to be denied access could be allowed. An IPv4 address is compared with IPv4 ranges as unsigned 32 bit numbers directly with the endianness of the host, but the values to compare are in network byte order (big-endian). With IPv6 addresses the comparison is done in 4 times a unsigned 32 bit number comparison, again with the endianness of the host where all values are actually in network bye order.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS