„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-47691 betrifft das Netzwerk-Framework Netty und ermöglicht DNS-Cache-Poisoning-Angriffe. Die Schwachstelle liegt in unzureichender Validierung von NS-Records in der DnsResolveContext-Klasse. Angreifer können durch Kontrolle eines autorisierten Nameservers für eine Subdomain den Cache für übergeordnete Domains vergiften.
Betroffene Systeme
- Netty vor Version 4.1.135.Final
- Netty vor Version 4.2.15.Final
- Anwendungen, die auf anfälligen Netty-Versionen basieren
- Java-basierte Netzwerkdienste mit eingebettetem Netty-Framework
Technische Details
Die Schwachstelle manifestiert sich in der Methode io.netty.resolver.dns.DnsResolveContext.AuthoritativeNameServerList#add. Diese akzeptiert jeden NS-Record aus der AUTHORITY-Section, solange der Record-Name ein Suffix des Fragenamens ist.
Der kritische Fehler tritt in der handleWithAdditional-Methode auf: Die zugehörigen A-Records aus der ADDITIONAL-Section werden direkt in den authoritativeDnsServerCache unter dem Schlüssel der übergeordneten Domain eingefügt. Dies umgeht die Standard-Bailiwick-Regeln, wonach ein für eine Subdomain autorisierter Server nicht als vertrauenswürdig für autoritative Records der übergeordneten Domain gelten darf.
Angriffsablauf: Ein Angreifer kontrolliert einen Nameserver für z.B. `attacker.subdomain.co.uk`. Bei DNS-Anfragen kann dieser falsche NS-Records für `.co.uk` injizieren, die dann vom Cache akzeptiert werden. Der vergiftete Cache wird für alle zukünftigen Resolutionen unter dem Schlüssel der übergeordneten Domain verwendet.
Empfohlene Massnahmen
- Sofortmassnahme: Update auf Netty 4.1.135.Final oder 4.2.15.Final durchführen
- Abhängigkeiten in Gradle/Maven-Dateien aktualisieren
- DNS-Resolver-Konfiguration überprüfen und restrictive Policies aktivieren
- DNS-Traffic monitoren auf anomale NS-Records
- DNSSEC-Validierung erwägen, falls verfügbar
Bewertung
CVSS-Score: 8.7 (High)
Angriffsvektor: Network
Die Lücke hat hohes Exploitationspotential durch Remote-Angreifer ohne Authentication. Cache-Poisoning kann zu Phishing, Malware-Distribution und Man-in-the-Middle-Angriffen führen.
„`