Вход
Все бюллетени/sisyphus/ALT-PU-2026-6443-5
ALT-PU-2026-6443-5

Обновление пакета dnsdist в ветке sisyphus

Версия2.0.3-alt1
Задание#413819
Опубликовано2026-10-14
Макс. серьёзностьHIGH
Серьёзность:

Закрытые проблемы (14)

BDU:2026-15249
MEDIUM4.3

Уязвимость функции update() файла pdns/dnsdistdist/html/local.js балансировщика нагрузки и прокси для DNS-трафика DNSdist, позволяющая нарушителю внедрить произвольный HTML-код

Опубликовано: 2026-09-24
CVSS 3.xСРЕДНЯЯ 4.3
CVSS:3.x/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
CVSS 2.0СРЕДНЯЯ 4.3
CVSS:2.0/AV:N/AC:M/Au:N/C:N/I:P/A:N
Ссылки
BDU:2026-15250
MEDIUM4.3

Уязвимость функции handleCORS() файла pdns/dnsdistdist/dnsdist-web.cc балансировщика нагрузки и прокси для DNS-трафика DNSdist, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Опубликовано: 2026-09-24
CVSS 3.xСРЕДНЯЯ 4.3
CVSS:3.x/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N
CVSS 2.0СРЕДНЯЯ 4.3
CVSS:2.0/AV:N/AC:M/Au:N/C:P/I:N/A:N
Ссылки
BDU:2026-15275
HIGH8.2

Уязвимость функции PacketReader::skip() файла pdns/dnsparser.hh балансировщика нагрузки и прокси для DNS-трафика DNSdist, позволяющая нарушителю раскрыть защищаемую информацию или вызвать отказ в обслуживании

Опубликовано: 2026-09-24
CVSS 3.xВЫСОКАЯ 8.2
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H
CVSS 2.0ВЫСОКАЯ 8.5
CVSS:2.0/AV:N/AC:L/Au:N/C:P/I:N/A:C
Ссылки
BDU:2026-15276
MEDIUM6.5

Уязвимость функции IncomingHTTP2Connection::handleIncomingQuery() файла pdns/dnsdistdist/dnsdist-nghttp2-in.cc балансировщика нагрузки и прокси для DNS-трафика DNSdist, позволяющая нарушителю обойти список контроля доступа

Опубликовано: 2026-09-24
CVSS 3.xСРЕДНЯЯ 6.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
CVSS 2.0СРЕДНЯЯ 6.4
CVSS:2.0/AV:N/AC:L/Au:N/C:P/I:P/A:N
Ссылки
BDU:2026-15277
HIGH7.5

Уязвимость функции handleReadableStream() файла pdns/dnsdistdist/doq.cc и функции processH3DataEvent() файла pdns/dnsdistdist/doh3.cc балансировщика нагрузки и прокси для DNS-трафика DNSdist, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2026-09-24
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
BDU:2026-15283
HIGH7.5

Уязвимость функции GenericDNSPacketWriter::commit() файла pdns/dnswriter.cс балансировщика нагрузки и прокси для DNS-трафика DNSdist, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2026-09-24
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
BDU:2026-15284
HIGH7.5

Уязвимость метода DNSQuestion:getEDNSOptions() файла pdns/dnsdistdist/dnsdist.hh балансировщика нагрузки и прокси для DNS-трафика DNSdist, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2026-09-24
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
CVE-2026-0396
MEDIUM4.3

An attacker might be able to inject HTML content into the internal web dashboard by sending crafted DNS queries to a DNSdist instance where domain-based dynamic rules have been enabled via either DynBlockRulesGroup:setSuffixMatchRule or DynBlockRulesGroup:setSuffixMatchRuleFFI.

Опубликовано: 2026-03-31Изменено: 2026-07-25
CVSS 3.xСРЕДНЯЯ 4.3
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
Ссылки
CVE-2026-0397
MEDIUM4.3

When the internal webserver is enabled (default is disabled), an attacker might be able to trick an administrator logged to the dashboard into visiting a malicious website and extract information about the running configuration from the dashboard. The root cause of the issue is a misconfiguration of the Cross-Origin Resource Sharing (CORS) policy.

Опубликовано: 2026-03-31Изменено: 2026-07-25
CVSS 3.xСРЕДНЯЯ 4.3
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N
Ссылки
CVE-2026-24028
HIGH8.2

An attacker might be able to trigger an out-of-bounds read by sending a crafted DNS response packet, when custom Lua code uses newDNSPacketOverlay to parse DNS packets. The out-of-bounds read might trigger a crash, leading to a denial of service, or access unrelated memory, leading to potential information disclosure.

Опубликовано: 2026-03-31Изменено: 2026-07-25
CVSS 3.xВЫСОКАЯ 8.2
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H
Ссылки
CVE-2026-24029
MEDIUM6.5

When the early_acl_drop (earlyACLDrop in Lua) option is disabled (default is enabled) on a DNS over HTTPs frontend using the nghttp2 provider, the ACL check is skipped, allowing all clients to send DoH queries regardless of the configured ACL.

Опубликовано: 2026-03-31Изменено: 2026-07-25
CVSS 3.xСРЕДНЯЯ 6.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Ссылки
CVE-2026-24030
HIGH7.5

An attacker might be able to trick DNSdist into allocating too much memory while processing DNS over QUIC or DNS over HTTP/3 payloads, resulting in a denial of service. In setups with a large quantity of memory available this usually results in an exception and the QUIC connection is properly closed, but in some cases the system might enter an out-of-memory state instead and terminate the process.

Опубликовано: 2026-03-31Изменено: 2026-07-25
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Ссылки
CVE-2026-27853
HIGH7.5

An attacker might be able to trigger an out-of-bounds write by sending crafted DNS responses to a DNSdist using the DNSQuestion:changeName or DNSResponse:changeName methods in custom Lua code. In some cases the rewritten packet might become larger than the initial response and even exceed 65535 bytes, potentially leading to a crash resulting in denial of service.

Опубликовано: 2026-03-31Изменено: 2026-07-25
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Ссылки
CVE-2026-27854
HIGH7.5

An attacker might be able to trigger a use-after-free by sending crafted DNS queries to a DNSdist using the DNSQuestion:getEDNSOptions method in custom Lua code. In some cases DNSQuestion:getEDNSOptions might refer to a version of the DNS packet that has been modified, thus triggering a use-after-free and potentially a crash resulting in denial of service.

Опубликовано: 2026-03-31Изменено: 2026-07-25
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Ссылки