CVE-2026-24028 CVSS 5.3 中危

CVE-2026-24028 PowerDNS dnsdist越界读取漏洞

披露日期: 2026-03-31

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-24028

漏洞类型

越界读取

CVSS评分

5.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

PowerDNS dnsdist

漏洞概述

CVE-2026-24028是PowerDNS dnsdist组件中的一个安全漏洞，归类为越界读取。当系统使用自定义Lua代码并调用`newDNSPacketOverlay`函数来解析DNS数据包时，攻击者可以通过发送特制的DNS响应数据包来触发该漏洞。成功利用可能导致目标服务崩溃（拒绝服务）或访问内存中的敏感数据（信息泄露）。该漏洞CVSS v3.1评分为5.3，属于中危风险。

技术细节

该漏洞主要影响PowerDNS dnsdist软件，特别是在Lua脚本环境中使用`newDNSPacketOverlay`函数进行DNS数据包解析时。由于代码中存在边界检查逻辑的缺陷，当攻击者向服务器发送特制的恶意DNS响应数据包时，解析函数可能会错误地读取缓冲区之外的内存地址。这种越界读取行为破坏了程序的内存安全机制。在攻击场景下，这首先会导致dnsdist进程发生异常崩溃，从而造成拒绝服务攻击，中断DNS解析服务。更为严重的是，通过控制读取的偏移量，攻击者可能从内存中读取到敏感的残留数据，如配置信息或其他请求的内容，从而导致信息泄露。该漏洞利用门槛低，无需身份认证即可通过网络触发，对运行相关配置的服务器构成实质性威胁。

攻击链分析

STEP 1

侦察

攻击者识别出使用PowerDNS dnsdist且配置了自定义Lua脚本解析数据包的目标服务器。

STEP 2

载荷构造

攻击者构造一个特殊的DNS响应数据包，该数据包包含畸形的结构，旨在触发`newDNSPacketOverlay`函数中的越界读取错误。

STEP 3

漏洞利用

攻击者通过网络将特制的DNS数据包发送给目标dnsdist服务器。

STEP 4

影响达成

dnsdist在解析数据包时发生越界读取，导致服务崩溃（DoS）或内存中的敏感信息被读取。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

-- Vulnerable Lua code example using newDNSPacketOverlay
function checkDNSResponse(dq)
    -- Parse the packet using the vulnerable API
    -- If a crafted packet is sent, this may trigger an out-of-bounds read
    local packet = newDNSPacketOverlay(dq:getSize(), dq:getData())
    
    -- Accessing packet data could lead to DoS or Info Disclosure
    if packet then
        local qname = packet:getQuestionName()
    end
    
    return DNSAction.None
end

addAction(AllRule(), LuaAction(checkDNSResponse))

影响范围

具体受影响版本请参考官方安全公告 powerdns-advisory-for-dnsdist-2026-02

防御指南

临时缓解措施

建议立即应用官方发布的安全补丁。如果不能立即升级，请限制对dnsdist服务的网络访问，仅允许可信的DNS上游或下游服务器访问，或暂时禁用使用`newDNSPacketOverlay`的Lua脚本功能，以降低被攻击风险。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表