FICHE CVE

CVE-2021-23386

Publiée le 2021-05-20 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant la bibliothèque `dns-packet` (avant la version 5.2.2) peuvent divulguer de la mémoire système interne à un attaquant distant. En envoyant des requêtes DNS spécialement conçues, un utilisateur authentifié peut inciter le serveur à renvoyer des paquets contenant des fragments de sa propre mémoire privée. Cette attaque est complexe à exécuter et nécessite que l'attaquant dispose déjà d'un accès de bas niveau au système.

CVSS 3.17.7 ÉLEVÉE

Type de faiblesse

CWE-909

Publiée2021-05-20

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéFaible

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

This affects the package dns-packet before 5.2.2. It creates buffers with allocUnsafe and does not always fill them before forming network packets. This can expose internal application memory over unencrypted network when querying crafted invalid domain names.