NSD 4.15.3, yetkili DNS sunucularında komut çalıştırmaya imkân veren dört zone ayrıştırma üzerine yazma hatasını gideriyor

Neler yayımlandı

NLnet Labs, 14 Ekim 2026'da NSD 4.15.3'ü yayımlayarak 4.10.0'dan 4.15.2'ye kadar olan sürümleri etkileyen dört güvenlik açığını kapattı. dev.to'da yayımlanan bir yazıya göre bu açıklar CVE-2026-101337, CVE-2026-101338, CVE-2026-101339 ve CVE-2026-101341 olarak takip ediliyor. Dördü de NSD'nin zone dosyalarını ayrıştırırken ortaya çıkan stack üzerine yazma hataları ve üretici, her birinin keyfi komut çalıştırmak için suistimal edilebilir olduğunu belirtiyor. Her durumda ön koşul, doğrudan ayrıştırıcıya iletilen hazırlanmış bir zone dosyasıdır. Aynı yazıda atıf yapılan SecurityOnline, CVSS v4 puanının 8.7 olduğunu, kamuya açık suistimal kodu bulunmadığını ve sahada doğrulanmış bir suistimal görülmediğini bildiriyor.

Yetkili bir sunucu neden riski büyütür

dev.to yazısı, yalnızca savunmasız sürece kadar inen bir güvenlik raporunun yetkili DNS açısından sorunun boyutunu küçümsediğini savunuyor. Yetkili bir sunucu, hizmet verdiği her alan adının zone verisini tutar ve özyinelemeli çözümleyicilerin önbelleğe aldığı yanıtları üretir; bu nedenle bu sürecin ele geçirilmesi birbirini güçlendiren üç etki yaratır:

• Bilgi ifşası. Zone içerikleri, iç servisleri tanımlayan kayıtların yanı sıra devir (delegation) ve DNSSEC malzemesini de içerebilir.
• Yanıt bütünlüğü. Ele geçirilmiş bir sunucu, alan adı sahibinin hiç yayımlamadığı kayıtları döndürebilir. Çözümleyiciler yanıtları kaydın TTL süresi boyunca önbelleğe aldığından, sahte yanıtlar saldırgan ortadan kalktıktan sonra da kalıcı olur ve bayat önbellekler hasarı yakın ağın ötesine taşır.
• Yayılım. Değiştirilmiş bir birincil sunucu, zehirli içeriği sıradan AXFR veya IXFR aktarımlarıyla sağlıklı ikincil sunuculara iletebilir ve ikinciller bu içeriği yetkili olarak sunmaya devam eder.

Önce kim yama yapmalı

Üreticinin kısıtı yama sırasını daraltıyor. NSD'nin kendisinin yazdığı zone dosyaları, örneğin bir ikincil sunucunun aktarım sonrası kaydettiği dosyalar, bu saldırıların gerektirdiği biçimde olmayacaktır. Bu nedenle en yüksek öncelikli dağıtımlar, başka bir yerde üretilen zone dosyalarını ayrıştıranlardır. Müşteri girdisini panel yazılımıyla işleyen yönetilen DNS platformları aciliyet listesinin başında yer alıyor; onu, dağıtım hattındaki şablonlar veya betiklerle beslenen birincil sunucular izliyor. Yöneticinin elinde tuttuğu iç birincil sunucular orta, yalnızca eş NSD'den aktarım kabul eden ikinciller daha düşük, paylaşımlı test araçları kullanılan laboratuvar veya hazırlık ortamları ise orta düzeyde önceliklendiriliyor.

Yazının altını çizdiği gibi, daha düşük sıradaki dağıtımlar bile yükseltmeyi hak ediyor; çünkü zone dizinine yazma erişimi, kötü amaçlı bir dosya yerleştirmek için yeterli. Oraya yazabilen her hesap, ayrıştırıcıya giden bir yol haline geliyor.

İzlenmeye değer sinyaller

Bir ayrıştırıcıdaki bellek bozulması nadiren temiz bir hata üretir; genellikle bir çökme, bir süpervisor yeniden başlatması veya yeniden yükleme sırasında ölen bir daemon ile sonuçlanır. Yazı, şimdiden üç sinyalin toplanmasını öneriyor: zone yeniden yüklemeleriyle zaman damgaları ilişkilendirilmiş beklenmedik NSD servis çıkışları; süpervisor veya container yeniden başlatma sayıları ve bir zone değişikliğiyle aynı zamana denk gelen her yeniden başlatmada uyarı; normalde DNS'e hiç dokunmayan hesapların tetiklediği yeniden yükleme olayları; bu da ele geçirilmiş bir sağlama kimlik bilgisine işaret edebilir. Yükseltmeden önce 4.15.3'teki nsd-checkzone yardımcı programının üretim zonelarına çalıştırılması, düzeltilmiş ayrıştırıcının hangi mevcut dosyalardan şüphelendiğini de gösterir.

Maruziyetin ölçülmesi ve düzeltmenin uygulanması

İnternet ölçümleri, savunmasız alt kümeyi belirlemeden popülasyonun büyüklüğünü ölçebilir. Yazının yazıldığı sırada ZoomEye, bir NSD uygulama eşleşmesi için 116.266, daha gevşek bir banner eşleşmesi için 628.831 varlık döndürdü; CVE-2026-101338'e bağlı bir sorgu ise ifşadan kısa süre sonra sıfır sonuç verdi. Bu rakamların hiçbiri sürümü, dağıtım rolünü veya bir sunucunun zone yüklemelerini kabul edip etmediğini ortaya koymuyor.

Çözüm, NLnet Labs'ın kaynak tarball olarak dağıttığı NSD 4.15.3'e yükseltmedir. Sürüm hemen dağıtılamıyorsa üretici, kaynak dizinden uygulanıp yeniden derlenebilecek 4.15.2'ye karşı CVE başına diff'ler yayımlıyor. Yeniden başlatmanın ardından operatörler, çalışan sürecin düzeltilmiş derlemeyi bildirdiğini doğrulamalı. Filolar için yazı, çalışan ana bilgisayarları yamalamak yerine imge veya paketlerin değiştirilmesini tercih ediyor; böylece değişiklik tekrarlanabilir ve sürüm denetlenebilir oluyor.

Neden önemli

Yetkili DNS sunucuları güç çarpanlarıdır: tek bir sürecin ele geçirilmesi, barındırılan her alan adı için sahte yanıtlara, internet genelindeki çözümleyicilerin önbelleğine ve normal aktarımlarla ikincillere kopyalanan içerik dönüşür. Buradaki saldırı yolu bir ağ paketi değil hazırlanmış bir dosya gerektirdiğinden, ister bir DNS panel müşterisi ister bir CI hattı ister bir yönetici hesabı olsun, zaten bir miktar erişim tutan saldırganların işine gelir. Bu durumda yama önceliğinin doğru temeli yalnızca CVSS puanı değil, zone dosyası yazımı çevresindeki güven sınırıdır. Düzeltilmiş ayrıştırıcı aynı zamanda bir tespit aracı olarak da işlev görür ve operatörlere yükseltmeden önce mevcut zoneleri denetleme imkânı verir.