NSD权威DNS曝三重高危漏洞：SVCB堆溢出、认证绕过、UAF漏洞全解析

NSD是NLnetLabs推出的开源权威DNS服务，与递归DNSUnbound同属一套生态，凭借精简架构、高性能、低资源占用成为政企域名系统主流选型。软件仅8万行C代码，专注域名区域数据管理，无多余递归、缓存逻辑，广泛用于企业主从DNS、域名服务商解析节点。

2026年上半年NSD连续爆出3个高危CVE漏洞，覆盖协议解析、TLS身份校验、连接内存管理三大攻击面，最高CVSS评分8.8，攻击者可远程代码执行、篡改域名解析数据，全网部署NSD的服务器面临重大安全风险。

一、NSD网络攻击面与区域传输风险逻辑

DNS分为权威DNS与递归DNS，NSD仅承担权威解析，核心数据同步依靠AXFR全量、IXFR增量区域传输，主从服务器通过TCP53、DoT853端口同步域名记录。

本次3个漏洞恰好覆盖两大核心端口：

1、TCP53：区域传输SVCB记录解析堆溢出CVE-2026-12244；

2、TLS853：证书认证绕过CVE-2026-12490、连接释放后重用UAFCVE-2026-12245。

若服务器对外开放区域传输、未做链路加密校验，黑客可中间人劫持、恶意主服务器投毒，篡改全量域名解析记录，引发域名劫持、钓鱼、内网渗透等严重后果。

二、三大高危漏洞技术拆解

1、CVE-2026-12244SVCB堆溢出
漏洞根源为NSD新增SVCB记录解析代码存在uint16_t整数溢出。SVCB是适配HTTP3、加密DNS的新型资源记录，解析时累加参数长度未做溢出校验，超大Value长度会导致内存分配缓冲区过小，触发65509字节大范围堆越界写入。

攻击条件：目标为从NSD，攻击者可控主服务器或劫持传输链路，下发恶意SVCB数据包即可远程执行代码，实现服务器完全接管。该漏洞仅存在于4.13.0后新增SVCB支持的版本，上线时间短、审计不足，漏洞利用门槛极低。

2、CVE-2026-12490TLS区域传输认证绕过DoT加密区域传输校验逻辑存在缺陷，攻击者可绕过TLS证书身份校验，伪装合法主服务器同步恶意区域数据，无权限篡改全部域名解析记录，污染企业官网、业务系统域名指向，诱导用户访问钓鱼站点。

3、CVE-2026-12245TLS连接UAF释放后重用

TLS连接关闭时内存资源未做清空回收，触发Use-After-Free内存破坏漏洞。黑客可构造异常握手数据包，破坏程序内存结构，造成服务崩溃或信息泄露，配合其余漏洞组合提权。

三、企业DNS服务器自查与修复方案

1、版本升级：立即升级NSD至官方修复版本，彻底封堵3个漏洞底层缺陷；

2、管控区域传输权限：限制AXFR/IXFR仅内网可信从服务器访问，禁止公网开放53、853端口传输；

3、加固DoT传输：强制TLS双向证书校验，拒绝无证书、非法证书节点同步域名数据；

4、流量监控：审计TCP53、853异常大容量区域同步请求，拦截含畸形SVCB记录的数据包；

5、定期代码Fuzz测试：针对SVCB、HTTPS等新增DNS记录类型做模糊测试，提前挖掘协议解析漏洞。

四、行业安全启示

NSD漏洞暴露出DNS新协议扩展带来的安全盲区，SVCB这类新增功能代码短、上线周期短，极易出现长度计算、内存管理漏洞。相比BIND数十万行代码，轻量DNS软件虽部署简单，但开发者常忽视边界校验逻辑。

域名系统是网络访问底层入口，一旦权威DNS被控制，所有业务系统都会遭受劫持风险。运维团队需建立DNS常态化漏洞巡检机制，同步做好端口访问控制、传输加密、内存漏洞防护，避免黑客利用DNS底层漏洞横向渗透内网核心业务。