21 октября 2026 года вышел PowerDNS Recursor 5.4.8 — обновление безопасности рекурсивного DNS-сервера. Главный смысл выпуска — защитить доступность сервиса и достоверность DNS-ответов: исправлены семь уязвимостей, которые могли привести к отказу в обслуживании, обходу проверки DNSSEC, отравлению кэша и накоплению утечек памяти. Часть проблем проявляется только при определённых настройках.
Исправления описаны в PowerDNS Security Advisory 2026-12. Для веток 5.3 и 5.4 последними затронутыми версиями указаны 5.3.11 и 5.4.7, а первыми исправленными — 5.3.12 и 5.4.8. Для всех семи проблем разработчики указывают отсутствие риска компрометации системы.
Исправления безопасности
- CVE-2026-73206: отказ в обслуживании при распаковке DNS-имён. Специально сформированный ответ от вредоносного DNS-сервера мог вызвать чрезмерное потребление ресурсов при обработке указателей сжатия имён. В исправленной версии ограничено число операций распаковки для отдельного имени и пакета целиком. Проблема затрагивает продукты нескольких поставщиков. Оценка CVSS — 7.5.
- CVE-2026-73205: накопление TCP-соединений в TIME_WAIT. Злоумышленник мог спровоцировать большое число закрытых исходящих соединений, которые продолжали занимать ресурсы ОС и мешали открывать новые соединения к авторитетным DNS-серверам. Оценка CVSS — 5.3.
- CVE-2026-85555: обход DNSSEC и отравление кэша. Если NS-запись ссылалась на имя из локальной зоны, настроенной отдельно от обычного рекурсивного разрешения, проверка DNSSEC могла отключаться для оставшейся обработки запроса. Пропускать её следовало только при разрешении самого имени NS. Оценка CVSS — 7.5.
- CVE-2026-85556: обход защитных проверок EDNS Client Subnet (ECS). Имя владельца EDNS OPT-записи должно обозначать корень DNS, но это проверялось не во всех случаях. В результате сервер мог принять EDNS-опцию, которую следовало отклонить. В бюллетене приведена оценка CVSS 5.9, хотя уровень серьёзности обозначен как High.
- CVE-2026-85557: блокировка встроенного веб-сервера. При включённом TLS один клиент, не выполняющий TLS-handshake, мог монополизировать веб-доступ. По умолчанию TLS для встроенного веб-сервера выключен. Описанный отказ относится к веб-доступу. Оценка CVSS — 5.3.
- CVE-2026-85558: утечка памяти при входящих TCP-соединениях. Адреса клиентов сохранялись после закрытия соединений и не удалялись до завершения процесса. Это приводило к небольшой, но накапливающейся утечке памяти. В бюллетене приведена оценка CVSS 3.7.
- CVE-2026-85559: чтение за пределами буфера в findScopeZero. Ошибка проверки границ могла привести к аварийному завершению Recursor. Проблема касается конфигураций с включённым
incoming.use_incoming_edns_subnet. Оценка CVSS — 5.3.
В списке изменений версии 5.4.8 все семь исправлений объединены в одну запись со ссылкой на PR #18197.
Обновление и временные меры
Основное решение для всех семи уязвимостей — обновление до версии с исправлениями: 5.4.8 для ветки 5.4 или 5.3.12 для ветки 5.3.
Для проблемы с TIME_WAIT разработчики также описывают временную меру на Linux: уменьшить значение параметра ядра tcp_max_tw_buckets до величины меньше 64 тысяч. Значение по умолчанию зависит от доступной памяти. Эта мера снижает влияние одной уязвимости и не заменяет обновление.
Перед обновлением разработчики рекомендуют ознакомиться с руководством по обновлению.
Удивительный факт
Бюллетень безопасности тоже оказался не без ошибок. У CVE-2026-85559 датой обнаружения указано 23 октября 2026 года, хотя сам бюллетень и исправленный выпуск датированы 21 октября. Если читать буквально, проблему исправили за два дня до её обнаружения. Что именно перепутано в датах, источник не поясняет.
Есть несоответствия и в оценках CVSS:
- У CVE-2026-85556 уровень серьёзности указан как High при оценке 5.9, которая относится к диапазону Medium. Текстовый вектор описывает влияние на целостность (
I:H), а ссылка на калькулятор — на конфиденциальность (C:H). - У CVE-2026-85558 текстовый вектор требует низкого уровня привилегий (
PR:L), а ссылка на калькулятор содержит вариант без привилегий (PR:N). Указанная оценка 3.7 соответствует второму варианту.
Это расхождения в самом документе. Выбирать за разработчиков «правильный» вариант не будем: для статьи приводим опубликованные оценки, а спорные места отмечаем отдельно.
Источники: бюллетень PowerDNS Security Advisory 2026-12 и список изменений PowerDNS Recursor 5.4.8.