NSD: Stack-Überschreibung über manipulierten HIP-Resource-Record in Zonendateien

Zusammenfassung

NSD, ein autoritativer DNS-Server von NLnet Labs, enthält eine Stack-Überschreibung im Parser für Zonendateien. Ein HIP-Resource-Record, dessen RDATA das Feld bis zur Grenze füllt und zusätzlich ein weiteres Domainnamen-Feld enthält, kann bis zu 191 Byte Stack-Speicher mit vom Angreifer kontrollierten Daten überschreiben. Die Zonendatei muss direkt an NSD übergeben werden, etwa über ein vom Betreiber kontrolliertes Provisionierungssystem, daher hängt das Risiko davon ab, wer Zonendaten liefern kann. Vom NSD selbst geschriebene Zonendateien sind nicht betroffen, und laut Hersteller löst eine normale DNS-Abfrage die Schwachstelle nicht aus.

Betroffen

• NSD 4.10.0 bis und mit 4.15.2
• Standardkonfiguration: nicht betroffen (gemäss CVE-Eintrag)

Behoben in

• NSD 4.15.3 und neuer (Upstream-Release)
• Distributionspakete: Die korrigierte Version vor dem Einsatz im Advisory des Distributors prüfen

Umgehung

• Kein Workaround ersetzt das Update.
• Bis zum Patch den Kreis der Personen einschränken, die Zonendaten für NSD übermitteln oder ändern können.
• Provisionierungssysteme, Web-DNS-Panels und Skripte prüfen, die Zonendateien für NSD schreiben.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Zum Zeitpunkt der Recherche sind kein öffentlicher Exploit-Code und keine Ausnutzung in freier Wildbahn bekannt.
• CVSS-4.0-Basisscore 8.7 (hoch).

Unsere Empfehlung

• Wenn Sie NSD betreiben, auf 4.15.3 oder neuer aktualisieren oder den Hersteller-Patch auf 4.15.2 anwenden und neu installieren.
• Nach dem Update prüfen, ob der laufende Prozess die korrigierte Version meldet.
• Systeme priorisieren, die Zonendaten von Dritten oder aus externen Provisionierungssystemen annehmen.
• Bei einem gehosteten DNS-Anbieter nachfragen, ob dieser NSD einsetzt und gepatcht hat.
• Konten, die Zonendaten schreiben können, einschränken und überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• NLnet Labs advisory CVE-2026-101339 www.nlnetlabs.nl
• NSD 4.15.3 release notes (GitHub) github.com
• NLnet Labs NSD download page nlnetlabs.nl
• NLnet Labs community: NSD 4.15.3 security release community.nlnetlabs.nl
• OSV: Alpine advisory for CVE-2026-101339 osv.dev
• VulDB entry CVE-2026-101339 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:10.