NLnet Labs NSD: Stack-Pufferüberlauf bei der Verarbeitung von SVCB/HTTPS-Records

Zusammenfassung

NSD, ein autoritativer DNS-Server von NLnet Labs, enthält einen Stack-Pufferüberlauf (CWE-121) bei der Verarbeitung von SVCB- und HTTPS-Resource-Records mit ECH-Parametern. Ein Angreifer, der eine speziell aufgebaute Zonendatei einspielen kann, kann den Stack überschreiben und Daten über das Pufferlimit hinaus schreiben. Laut Hersteller kann dies zur Ausführung beliebiger Befehle missbraucht werden. Von NSD selbst geschriebene Zonendateien, einschliesslich jener für sekundäre Zonen, sind nicht betroffen; die Zonendatei muss NSD direkt zugeführt werden, etwa über ein vom Betreiber kontrolliertes Provisioning-System.

Betroffen

• NSD 4.10.0 bis und mit 4.15.2
• Die Standardkonfiguration ist laut CVE-Eintrag nicht betroffen
• Der Versionsbereich des Herstellers ist breiter als jener von VulDB (4.15.0 bis 4.15.2); es gilt der Bereich des Herstellers
• Distributionspakete: Status unbekannt, keine korrigierte Version gefunden; Paketstand des Betriebssystems nicht als gepatcht annehmen

Behoben in

• NSD 4.15.3 und alle späteren Versionen
• Nur für NSD 4.15.2: Patch des Herstellers patch_CVE-2026-101338.diff (Anwendung mit patch -p1, danach make install)

Umgehung

• Keine Workaround-Massnahme vom Hersteller dokumentiert; die einzige genannte Lösung ist das Update oder der Patch
• Allgemeine Risikoreduktion (nicht vom Hersteller): Schreibzugriff auf Zonendateien einschränken und automatisierte Provisioning-Prozesse, die Zonen-Inhalte schreiben, prüfen

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Keine Ausnutzung in freier Wildbahn gefunden; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog
• Kein öffentlicher Proof of Concept zum Zeitpunkt der Veröffentlichung
• VulDB bezeichnet die Schwachstelle als '0-Day' mit geschätztem Exploit-Preis; dies ist eine Marktschätzung und kein Beleg für eine Ausnutzung

Unsere Empfehlung

• Prüfen, ob NSD läuft und ob es für Zonen als Primary-Server fungiert oder Zonendateien von Dritten oder Provisioning-Systemen annimmt
• Falls NSD als Primary-Server betrieben wird oder externe Zonendaten annimmt, sofort auf NSD 4.15.3 oder neuer aktualisieren; Distributionspakete separat prüfen
• Falls NSD nur als Secondary-Server läuft, das Update zusammen mit den anderen am selben Tag veröffentlichten NSD-CVEs einplanen (CVE-2026-101339, CVE-2026-101341, CVE-2026-101337)
• Schreibzugriff auf Zonendateien einschränken und Änderungen daran bis zur Behebung überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• NLnet Labs advisory CVE-2026-101338 www.nlnetlabs.nl
• NLnet Labs NSD security advisories nlnetlabs.nl
• NSD releases on GitHub github.com
• Ubuntu security notice CVE-2026-101338 ubuntu.com
• OSV entry UBUNTU-CVE-2026-101338 osv.dev
• VulDB entry 419799 vuldb.com
• CVE mirror cve.threatint.com cve.threatint.com
• Strix CVE summary www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:08.