🟠 CVE-2026-12246: High Luecke in Nlnetlabs Nsd

„`html

Zusammenfassung

CVE-2026-12246 ist eine kritische Sicherheitslücke in NSD (Name Server Daemon) Version 4.14.0, die durch einen Stack-Overflow-Fehler charakterisiert wird. Die Verwundbarkeit wird durch speziell präparierte APL-Ressourcendatensätze (Address Prefix List) ausgelöst, bei denen die adflength-Feld einen für die jeweilige Adressfamilie unzulässigen Wert überschreitet. Dieser Fehler führt zum Überschreiben des Stack-Speichers mit bis zu 111 Bytes von Angreifer-kontrollierten Daten beim Schreiben einer Zone auf die Festplatte.

Betroffene Systeme

Die Verwundbarkeit betrifft ausschließlich NSD Version 4.14.0 von NLnet Labs. Während frühere und spätere Versionen nicht direkt betroffen sind, sollten Administratoren überprüfen, ob diese spezifische Version in ihrer Infrastruktur eingesetzt wird. NSD wird häufig als autorisativer Nameserver in großen Netzwerken und bei DNS-Hosting-Providern verwendet.

Technische Details

Der Fehler liegt in der Verarbeitung von APL-Ressourcendatensätzen (RFC 3123). Die betroffene Code-Stelle validiert die adflength-Feld nicht ausreichend gegen die Maximallänge der jeweiligen Adressfamilie (IPv4: 4 Bytes, IPv6: 16 Bytes). Beim Schreiben der Zone-Datei wird diese Längenverletzung nicht korrekt behandelt, was zu einem Heap-Overflow führt. Ein Remote-Angreifer kann durch das Einschleusen eines manipulierten APL RR in eine Zone einen Stack-Overflow hervorrufen und potenziell beliebigen Code ausführen.

Empfohlene Massnahmen

• Sofortige Aktualisierung: NSD muss auf eine korrigierte Version > 4.14.0 aktualisiert werden
• Eingabe-Validierung: Implementierung strenger Validierungsregeln für APL RR auf Netzwerk-Ebene
• Monitoring: Überwachung auf verdächtige APL-Anfragen und Zone-Transfer-Aktivitäten
• Netzwerk-Segmentierung: Beschränkung von DNS-Zone-Transfers auf vertrauenswürdige Quellen

Bewertung

Mit einem CVSS-Score von 8.1 (High) und einem Angriffsvektor über das Netzwerk stellt diese Lücke eine erhebliche Bedrohung dar. Die Kombination aus Remoteverwendbarkeit und Potenzial für Code-Ausführung macht ein schnelles Patching zwingend erforderlich. Ein funktionsfähiger Patch ist verfügbar.

„`