NLnet Labs NSD: Stack-Überschreibung über speziell formatierte base64-RDATA

Zusammenfassung

NSD, ein autoritativer DNS-Server, enthält einen Stack-Pufferüberlauf in seinem Zonendatei-Parser. Base64-Daten, die in Stücke von höchstens drei Zeichen aufgeteilt sind, werden fälschlicherweise als null Bytes berechnet, wodurch bis zu 64 KB vom Angreifer kontrollierte Daten den Stack überschreiben können. Die Schwachstelle erfordert niedrige Berechtigungen, um eine präparierte Zonendatei in den Server zu bringen, etwa über ein vom Betreiber kontrolliertes Provisionierungssystem; von NSD selbst geschriebene Zonen, etwa Sekundärzonen, sind nicht so formatiert. Der Hersteller beschreibt eine mögliche Ausführung beliebiger Befehle, während CISA SSVC die technische Auswirkung als total und die Automatisierbarkeit als nein einstuft.

Betroffen

• NSD 4.10.0 bis einschliesslich 4.15.2
• Standardkonfiguration: laut CNA-Eintrag nicht betroffen (Details siehe Herstellerhinweis)

Behoben in

• NSD 4.15.3 und neuer
• Backports für ältere Zweige: Unbekannt.

Umgehung

• Kein vom Hersteller veröffentlichter Workaround.
• Einschränken, wer Zoneninhalte an den Server liefern kann, und von Kunden gelieferte Record-Daten validieren, bevor sie NSD erreichen (eigene Empfehlung, nicht aus einer Quelle).

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; KEV-Eintrag laut einem Drittanbieter-Aggregator nicht vorhanden, nicht gegen den CISA-KEV-Katalog geprüft.
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
• CISA SSVC: Ausnutzung none, Automatisierbarkeit no, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, ob NSD installiert ist und welche Version läuft (nsd -v).
• Bei Version 4.10.0 bis 4.15.2 auf NSD 4.15.3 oder das gepatchte Paket Ihrer Distribution aktualisieren.
• Die weiteren Zonenparser-Fixes im selben Release ebenfalls einspielen (CVE-2026-101338, CVE-2026-101339, CVE-2026-101341).
• Falls Kunden oder externe Systeme Record-Daten in Zonen schreiben können, das Update priorisieren und die Zoneneingabe bis dahin einschränken.
• Die fixierte Paketversion Ihrer Distribution prüfen, da dies nicht verifiziert wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• NLnet Labs CVE-2026-101337 advisory www.nlnetlabs.nl
• NLnet Labs NSD download (4.15.3 release notes) nlnetlabs.nl
• NLnet Labs NSD security advisories nlnetlabs.nl
• Strix CVE-2026-101337 www.strix.ai
• VulDB 419800 vuldb.com
• OSV Debian CVE-2026-101337 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:11.