Una vulnerabilità nel processing dei record NSEC/NSEC3 DNSSEC di dnsmasq permette attacchi denial-of-service remoti senza autenticazione. Il difetto, tracciato come CVE-2026-4890, è stato reso pubblico il 13 agosto 2026 dall'advisory ZDI-26-584 dopo una disclosure coordinata avviata il 20 maggio. Il meccanismo è un infinite loop nel parsing della bitmap dei tipi di record: un loop senza exit condition consuma CPU fino al blocco del servizio DNS.
- CVE-2026-4890: vulnerabilità DoS in dnsmasq legata al processing DNSSEC dei record NSEC/NSEC3
- Attacco remoto senza autenticazione: chiunque possa inviare pacchetti DNS al target può innescare l'infinite loop
- La causa radice è una mancanza di proper exit condition nel loop di handling dei record NSEC, secondo l'advisory ZDI
- Disclosure coordinata: report al vendor il 20 maggio 2026, rilascio pubblico il 13 agosto 2026
Il meccanismo: un loop infinito nella sicurezza del DNS
Il cuore del problema sta nel modo in cui dnsmasq gestisce i record NSEC e NSEC3, i meccanismi di prova dell'inexistenza di un record nel sistema DNSSEC. Questi record contengono una bitmap che elenca i tipi di record presenti per un nome di dominio. Secondo l'advisory ZDI-26-584, "the specific flaw exists within the handling of NSEC records. The issue results from a lack of a proper exit condition in a loop."
Quando dnsmasq incontra una risposta DNS malevola con una struttura NSEC o NSEC3 opportunamente costruita, il ciclo di parsing della bitmap non termina. La CPU viene saturata in un'operazione che non produce output utile: il processo dnsmasq diventa non responsivo e le richieste DNS successive vanno in timeout. Non si tratta di un crash immediato con segmentation fault, ma di una starvation di risorse più subdola e altrettanto efficace nel negare il servizio.
La natura remota dell'attacco è ciò che ne amplifica la gravità. L'advisory ZDI afferma esplicitamente che "authentication is not required to exploit this vulnerability." In configurazioni dove dnsmasq è esposto a rispondere a query DNS da reti non completamente controllate — scenario comune in edge network, infrastrutture cloud e deployment containerizzati — il vettore di attacco è aperto senza bisogno di credenziali compromesse o posizione interna alla rete.
"This vulnerability allows remote attackers to create a denial-of-service condition on affected installations of dnsmasq. Authentication is not required to exploit this vulnerability." — Advisory ZDI-26-584
Perché dnsmasq è un bersaglio sensibile
dnsmasq è un forwarder DNS e DHCP server leggero, presente per default in innumerevoli distribuzioni Linux, sistemi embedded, router domestici e piattaforme di virtualizzazione. La sua adozione in OpenStack Neutron, in cluster Kubernetes per il DNS interno, e in container runtime come parte della risoluzione nomi locale lo rende un componente infrastructurale piuttosto che un'applicazione discreta.
Quando DNSSEC è abilitato — condizione necessaria per l'esploitabilità di questa vulnerabilità — dnsmasq si trova nel percorso di validazione della catena di trust del DNS. La funzione di sicurezza diventa qui il punto di ingresso per l'instabilità. È un pattern che si è visto in passato con altre implementazioni DNSSEC, ma la specificità di questo flaw è la sua semplicità meccanica: non richiede complessità crittografica, basta una risposta con la struttura NSEC/NSEC3 adeguata.
L'advisory ZDI non specifica quali versioni di dnsmasq siano affette. Il dossier non documenta né l'esistenza di una patch ufficiale né il numero di versione che la introduce. Questo limite rende complessa la valutazione del rischio per operatori che gestiscono deployment eterogenei o embedded con cicli di aggiornamento lunghi.
Il contesto della disclosure ZDI
La Zero Day Initiative di TrendAI ha gestito la disclosure con la timeline standard del programma: report al vendor il 20 maggio 2026, rilascio pubblico coordinato il 13 agosto 2026. L'intervallo di circa tre mesi tra segnalazione e pubblicazione è coerente con le finestre tipiche di coordinazione, sebbene il dossier non specifichi se durante questo periodo sia stata prodotta una patch o se il vendor abbia rilasciato aggiornamenti.
L'identificatore CVE-2026-4890 è stato assegnato e il record CVE corrobora la natura della vulnerabilità come "Denial of Service (DoS) vulnerability in the DNSSEC validation of dnsmasq." Tuttavia, il record CVE non aggiunge dettagli tecnici rispetto all'advisory ZDI, che rimane la fonte primaria strutturata per la comprensione del meccanismo.
Il CVSS 7.5 HIGH riportato nella sezione fatti ufficiali del dossier — con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H — non è attribuito a una fonte primaria specifica nell'advisory ZDI, che non riporta score né vettore. Il dossier non chiarisce se questo valore derivi da un'elaborazione NVD successiva o da altra fonte. Il numero va letto con questa incertezza di provenienza.
Perché è importante
Il dossier non documenta misure correttive specifiche né raccomandazioni operative dal vendor. La fonte non specifica la natura dei dati potenzialmente esposti durante un attacco: l'impatto è limitato al denial-of-service, senza evidenza di leak informativi o alterazione delle risposte DNS.
Il brief non indica la presenza di exploit pubblico o di sfruttamento attivo in-the-wild. L'assenza di questa informazione non equivale a assenza di rischio: la semplicità del vettore — una risposta DNS appositamente costruita — suggerisce che la barriera tecnica per l'exploit è bassa, anche se il dossier non conferma né smentisce attività di sfruttamento osservate.
Per gli operatori di infrastruttura, il punto critico è la visibilità su quali istanze dnsmasq abbiano DNSSEC abilitato. Il brief non fornisce indicatori di compromissione né strumenti di rilevazione specifici per questa vulnerabilità. La valutazione del proprio attack surface rimane, al momento, un esercizio di inventario interno.
Domande che restano aperte
Quali versioni di dnsmasq sono effettivamente a rischio?
L'advisory ZDI-26-584 non elenca versioni specifiche affette. Senza questa informazione, ogni deployment con DNSSEC abilitato va considerato potenzialmente esposto fino a verifica con il vendor o il proprio maintainer di distribuzione.
Esiste una patch disponibile?
Il dossier non documenta lo stato di una patch ufficiale. L'URL del vendor riportato nell'advisory ZDI punta al medesimo advisory, non a un bollettino di sicurezza o release notes con correzioni.
Il DNSSEC è abilitato di default nelle distribuzioni comuni?
Il brief non specifica quali distribuzioni o deployment abilitino DNSSEC per default su dnsmasq. La variabilità di configurazione tra router domestici, cloud provider e sistemi embedded rende questa informazione necessaria ma non disponibile nel dossier.
La tensione tra sicurezza e disponibilità si manifesta qui in forma paradossale: il meccanismo pensato per garantire l'autenticità delle risposte DNS, DNSSEC, ospita un bug che trasforma quella stessa garanzia in un vettore di interruzione del servizio. Non è la prima volta che una funzione di trust introduce fragilità operativa, ma la combinazione di esploitabilità remota e assenza di autenticazione richiesta eleva la priorità di chiarezza da parte del vendor sulle versioni affette e sul percorso di remediation.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-584/
- https://www.cve.org/CVERecord?id=CVE-2026-4890
- https://www.trendmicro.com/
- https://www.trendmicro.com/en_us/business/products/one-platform.html
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.