NLnet Labs NSD: Stack-Überschreibung bei der Verarbeitung von TXT-RDATA
Zusammenfassung
NSD, ein autoritativer DNS-Server von NLnet Labs, prüft einige Textteile (Tokens) unter 32 Bytes in RDATA beim Einlesen von Zonendateien nicht auf den reservierten Speicherbereich. Ein speziell aufgebauter Resource Record (TXT, NINFO, SPF, AVC, RESINFO oder WALLET) kann einen Out-of-Bounds-Schreibzugriff auf den Stack auslösen, einschliesslich der Überschreibung eines Callback-Funktionszeigers. Der Angreifer muss den präparierten Eintrag in eine von NSD verarbeitete Zone einbringen, etwa über ein Provisioning-System oder einen kundenkontrollierten TXT-Eintrag, und benötigt niedrige Berechtigungen; der CVSS-Wert 8.7 stammt vom CNA, die NVD-Analyse ist noch ausstehend. Von NSD selbst geschriebene Zonen, etwa auf Secondary-Servern, sind nicht so formatiert.
Betroffen
- NSD ab 4.10.0 bis und mit 4.15.2
Behoben in
- Auf NSD 4.15.3 oder neuer aktualisieren (Korrektur des Herstellers)
- Für NSD 4.15.2 stellt der Hersteller den Patch patch_CVE-2026-101341.diff bereit (Anwendung mit patch -p1, danach make install)
- OpenBSD hat die Korrektur in 8.0 errata 002 nachgeliefert
- Ubuntu führt seine nsd-Pakete als Needs evaluation; den Status Ihrer Distribution prüfen
Umgehung
- Der Hersteller nennt keine Workaround-Massnahme.
- Schreibzugriff auf Zonendateien und Provisioning-Quellen auf vertrauenswürdige Konten beschränken.
- Reine Secondary-Zonen sind weniger gefährdet, doch ein Angreifer mit Schreibzugriff auf das Zonenverzeichnis erreicht den verwundbaren Parser weiterhin.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no.
- Die Herstellerseite gibt an, dass die Schwachstelle für die Ausführung beliebiger Befehle missbraucht werden kann; die Herstellerbeschreibung selbst spricht von einem Stack-Überschreibung.
Unsere Empfehlung
- NSD auf 4.15.3 oder neuer aktualisieren oder den Herstellerpatch anwenden, falls eine Distributionsversion im Einsatz ist.
- Prüfen, ob die NSD-Instanzen Zonen aus Kundeneingaben oder externen Quellen bereitstellen, und diese Systeme priorisieren.
- Änderungen an Zonendateien und Provisioning-Prozessen bis zur Aktualisierung auf vertrauenswürdige Personen beschränken.
- NSD-Logs und Zonenänderungen auf ungewöhnliche oder fehlerhafte TXT-Einträge überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- NLnet Labs advisory CVE-2026-101341 www.nlnetlabs.nl
- NLnet Labs NSD security advisories nlnetlabs.nl
- VulDB CVE-2026-101341 vuldb.com
- Ubuntu CVE-2026-101341 ubuntu.com
- OpenBSD 8.0 errata www.openbsd.org
- Strix CVE-2026-101341 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.