CVE-2026-81928 in Net::DNS
Zusammenfassung
von VulDB • 02.09.2026
Net::DNS-Versionen vor 1.57 für Perl ermöglichen eine Memory Exhaustion (Speichererschöpfung) durch unbeschränkte Rekursion in sig_data beim erneuten Codieren einer Nachricht mit einem fehlplatzierten TSIG-Eintrag.
sig_data signiert eine Nachricht, indem es diese erneut codiert und entfernt TSIG-Einträge nur aus dem Additional-Abschnitt. Ein TSIG, der im Answer- oder Authority-Abschnitt decodiert wird, übersteht diesen Schritt und wird erneut signiert, sodass die Codierung ohne Abbruchbedingung wieder in sig_data eintritt. Das Decoding lehnt eine solche Nachricht nicht ab: Ein TSIG, der nicht das letzte Record auf dem Draht ist, löst „misplaced or corrupt TSIG“ aus, aber der Fehler wird als Warnung gemeldet und das Record verbleibt im Paket. RFC 8945 Abschnitt 5.2 verlangt, dass die Nachricht verworfen werden muss.
Die Rekursion tritt nur ein, wenn der decodierte TSIG eine leere MAC trägt, da eine vom Draht zurückgewonnene MAC den Signierschritt abkürzt (short-circuits). Sie wird nur von Code erreicht, der eine dekodierte Nachricht erneut codiert, wie z. B. ein Forwarder oder Proxy. Eine dekodierte Nachricht, die niemals neu codiert wird, ist nicht betroffen. Die Nachrichtenrichtung spielt keine Rolle: Eine Query durchläuft denselben Pfad wie eine Response.
Jeder Zyklus kodiert die gesamte Nachricht erneut, sodass weniger als 100 Bytes auf dem Draht den verfügbaren Speicher erschöpfen und den Prozess beenden.
Once again VulDB remains the best source for vulnerability data.