DNS-over-HTTPS implementation suffers from multiple issues under heavy query load
26Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 7.5epss 18%
probabilidad de explotación
18%top 3% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen
Un resolvedor DNS que utiliza DNS-over-HTTPS (DoH) puede ser abrumado por atacantes enviando grandes cantidades de tráfico HTTP/2 manipulado, agotando la CPU y memoria del servidor. Esto hace que el servicio DNS no esté disponible para usuarios legítimos.
Detalle técnico
La vulnerabilidad existe en la implementación DoH de BIND 9, permitiendo que atacantes remotos no autenticados agoten recursos del servidor mediante inundación de tráfico HTTP/2 con consultas DNS válidas o inválidas. El ataque no requiere autenticación e impacta la disponibilidad de recursos, afectando las versiones 9.18.0-9.18.32, 9.20.0-9.20.4, 9.21.0-9.21.3 y 9.18.11-S1 hasta 9.18.32-S1.
Resumen generado y traducido por IA a partir de la descripción oficial.
Clients using DNS-over-HTTPS (DoH) can exhaust a DNS resolver's CPU and/or memory by flooding it with crafted valid or invalid HTTP/2 traffic.
This issue affects BIND 9 versions 9.18.0 through 9.18.32, 9.20.0 through 9.20.4, 9.21.0 through 9.21.3, and 9.18.11-S1 through 9.18.32-S1.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Productos afectados
ISC · BIND 9