„`html

CVE-2026-12490: Authentifizierungslücke in Nlnetlabs NSD

Zusammenfassung

In Nlnetlabs NSD liegt eine Authentifizierungslücke vor, die es Angreifern ermöglicht, Zone-Transfer-Anfragen ohne erforderliches Client-Zertifikat durchzuführen. Die Schwachstelle betrifft die Implementierung der TLS-Auth-Authentifizierung bei Zone-Transfers und weist einen CVSS-Score von 7.5 auf.

Betroffene Systeme

Produkt: Nlnetlabs NSD

Versionsumfang: Spezifische Versionen mit provide-xfr und tls-auth-name Konfiguration

Angriffsvektor: Netzwerk

Technische Details

Die Schwachstelle tritt auf, wenn eine provide-xfr-Regel mit tls-auth-name konfiguriert ist. Das System soll ein Client-Zertifikat mit dem definierten Namen validieren. Jedoch existiert ein Bypass-Mechanismus:

• Anfragen über TLS auf dem regulären tls-port (nicht tls-auth-port) umgehen die Zertifikatsprüfung
• TCP-Anfragen auf dem Standard-Port benötigen kein Client-Zertifikat
• Dies gilt, sofern andere provide-xfr-Bedingungen erfüllt sind

Angreifer mit Netzwerkzugriff können dadurch unauthentifizierte Zone-Transfers anfragen und sensible DNS-Zonendaten exfiltrieren.

Empfohlene Massnahmen

• Sofortig: Verfügbaren Patch einspielen
• Konfiguration: provide-xfr-Regeln überprüfen und tls-auth-port explizit verwenden
• Netzwerk: Zone-Transfer-Port (Port 53 TCP/TLS) einschränken
• Monitoring: Unerwartete Zone-Transfer-Anfragen protokollieren und überwachen

Bewertung

Schweregrad: High (7.5)

Verfügbarkeit: Patch verfügbar

Exploitierbarkeit: Hoch – einfache Umgehung durch Port-Wechsel möglich

Priorität: Sehr hoch – baldige Aktualisierung erforderlich

„`