dnsmasq CVE-2026 QA सत्यापन उपकरण

6 dnsmasq कमजोरियों (मई 2026) के सत्यापन के लिए स्वचालित ब्लैक-बॉक्स उपकरण। लाइव DUT को आक्रमण पैकेट भेजता है और PASS/FAIL रिपोर्ट करता है — स्रोत कोड एक्सेस की आवश्यकता नहीं है।

त्वरित आरंभ

# Set DUT DNS to your laptop's WAN IP via GUI first, then:
sudo python3 dnsmasq_cve_verify.py --laptop <YOUR_WAN_IP> --dut <DUT_LAN_IP> --dut-pass <SSH_PASS>

# Example:
sudo python3 dnsmasq_cve_verify.py --laptop 10.0.0.211 --dut 192.168.1.1 --dut-pass '12345Asdf@'

परीक्षित CVE

प्रत्येक परीक्षण कैसे काम करता है

CVE-2026-2291 (गंभीर — extract_name में हीप ओवरफ्लो)

मूल कारण: union bigname char name[MAXDNAME] घोषित करता है, लेकिन एस्केप किए गए वर्ण किसी नाम को 2*MAXDNAME+1 बाइट्स तक विस्तारित कर सकते हैं, जिससे हीप ओवरफ्लो होता है।

परीक्षण विधि: उच्च-बिट वर्णों (0x80+) वाले डोमेन नामों वाली DNS क्वेरी भेजता है, जो आंतरिक रूप से \DDD एस्केप होते हैं (प्रति इनपुट बाइट 4 बाइट्स)। यदि dnsmasq क्रैश हो जाता है या प्रतिक्रिया देना बंद कर देता है, तो यह असुरक्षित है।

पैच के बाद का व्यवहार: अत्यधिक बड़े नामों को सुगमता से अस्वीकार करता है (FORMERR/REFUSED) या बढ़ाए गए बफर का उपयोग करता है।

CVE-2026-5172 (उच्च — extract_addresses में OOB रीड)

मूल कारण: फ़र्ज़ी rdlen फ़ील्ड extract_name() को पॉइंटर को रिकॉर्ड के अंत से आगे बढ़ाने देता है। शेष-बाइट्स अंडरफ़्लो एक विशाल मान उत्पन्न करता है → बड़े पैमाने पर OOB रीड → क्रैश।

परीक्षण विधि: ऐसे CNAME रिकॉर्ड वाली DNS प्रतिक्रियाएँ भेजता है जहाँ rdlen वास्तविक एन्कोडेड नाम से छोटा होता है। यदि dnsmasq क्रैश होता है, तो यह असुरक्षित है।

पैच के बाद का व्यवहार: सत्यापित करता है कि extract_name() के बाद पॉइंटर घोषित rdlen सीमा के भीतर रहता है।

CVE-2026-4890 (उच्च — DNSSEC NSEC इनफिनिट लूप)

मूल कारण: NSEC टाइप बिटमैप पार्सिंग p[1]+2 के बजाय p[1] से आगे बढ़ती है (विंडो हेडर आकार गायब है)। bitmap_length=0 के साथ, पॉइंटर कभी आगे नहीं बढ़ता → इनफिनिट लूप।

परीक्षण विधि: window=0, bitmap_length=0 के साथ एक क्राफ्टेड NSEC रिकॉर्ड भेजता है। यदि dnsmasq सभी क्वेरी का उत्तर देना बंद कर देता है (हैंग हो जाता है, क्रैश नहीं), तो यह असुरक्षित है। RRSIG सत्यापन से पहले शोषण योग्य।

पैच के बाद का व्यवहार: p[1]+2 से आगे बढ़ता है और शून्य-लंबाई वाले बिटमैप को छोड़ देता है।

CVE-2026-4891 (मध्यम — RRSIG हीप OOB रीड)

मूल कारण: RRSIG में rdlen को न्यूनतम आकार (18 + साइनर नाम) के विरुद्ध सत्यापित नहीं किया जाता। गणना की गई हस्ताक्षर लंबाई ऋणात्मक अंडरफ़्लो उत्पन्न करती है → विशाल मान के रूप में मानी जाती है → OOB रीड।

परीक्षण विधि: rdlen=10 वाले RRSIG रिकॉर्ड भेजता है (न्यूनतम 31+ बाइट्स से काफी नीचे)। क्रैश = असुरक्षित।

पैच के बाद का व्यवहार: हस्ताक्षर लंबाई की गणना करने से पहले rdlen >= fixed_fields + signer_name_length सत्यापित करता है।

CVE-2026-4892 (उच्च — DHCPv6 CLID लोकल रूट)

मूल कारण: DHCPv6 CLID (अधिकतम 65535 बाइट्स) sprintf("%.2x") के माध्यम से daemon->packet (5131 बाइट्स) में हेक्स-एन्कोडेड होते हैं। 3000-बाइट CLID → 6000-बाइट हेक्स स्ट्रिंग → ओवरफ्लो। हेल्पर प्रक्रिया रूट के रूप में चलती है।

परीक्षण विधि: 3000-बाइट क्लाइंट आइडेंटिफ़ायर के साथ DHCPv6 SOLICIT भेजता है। IPv6 सन्निकटता और --dhcp-script कॉन्फ़िगर होना आवश्यक है। हेल्पर क्रैश = असुरक्षित।

पैच के बाद का व्यवहार: हेक्स एन्कोडिंग से पहले CLID लंबाई को ट्रंकेट करता है या सत्यापित करता है।

नोट: कुछ बिल्ड -DNO_DHCP6 के साथ संकलित होते हैं और इस CVE से प्रभावित नहीं होते हैं।

CVE-2026-4893 (मध्यम — ECS स्रोत सत्यापन बाइपास)

मूल कारण: process_reply() पूर्ण पैकेट लंबाई के बजाय OPT रिकॉर्ड लंबाई (~23 बाइट्स) check_source() को पास करता है। सभी सीमा जाँचें विफल हो जाती हैं → फ़ंक्शन हमेशा 1 (मान्य) लौटाता है।

परीक्षण विधि: स्पूफ किए गए स्रोत उपसर्गों वाले EDNS क्लाइंट सबनेट विकल्प के साथ DNS क्वेरी भेजता है। यदि dnsmasq बिना सत्यापन के ECS को वापस भेज देता है, तो यह असुरक्षित है।

पैच के बाद का व्यवहार: पूर्ण पैकेट लंबाई check_source() को पास करता है, जिससे RFC 7871 धारा 9.2 के अनुसार उचित सीमा जाँचें सक्षम होती हैं।

निवारण

dnsmasq 2.92rel2 में अपग्रेड करें (अनुशंसित)

• स्रोत: https://thekelleys.org.uk/dnsmasq/dnsmasq-2.92rel2.tar.xz
• अपस्ट्रीम पैच: https://thekelleys.org.uk/dnsmasq/CVE/

स्वचालित दोष सत्यापन उपकरण (dnsmasq_cve_verify.py)

प्राथमिक QA उपकरण। परीक्षण लैपटॉप पर चलता है, DUT को आक्रमण पैकेट भेजता है, और प्रत्येक CVE के लिए स्पष्ट PASS/FAIL रिपोर्ट करता है। स्थिति निरीक्षण के लिए केवल रीड-ओनली SSH एक्सेस के अलावा DUT में किसी संशोधन की आवश्यकता नहीं है।

नेटवर्क टोपोलॉजी

┌─────────────────────────────────────────────────────────────────────┐
│                        Testing Laptop                                │
│                                                                      │
│   LAN interface                   WAN interface                      │
│   <LAPTOP_LAN_IP>                 <LAPTOP_WAN_IP>                   │
│        │                               │                            │
│        │                          ┌────┴──────────────┐             │
│        │                          │ Malicious DNS     │             │
│        │                          │ Server (port 53)  │             │
│        │                          └────┬──────────────┘             │
│        │                               │                            │
└────────┼───────────────────────────────┼────────────────────────────┘
         │ LAN subnet                    │ WAN subnet
         │                               │
┌────────┼───────────────────────────────┼────────────────────────────┐
│        │                               │                            │
│   LAN: <DUT_LAN_IP>              WAN: <DUT_WAN_IP>                  │
│   (LAN gateway)                   (WAN uplink)                      │
│                                                                      │
│              DUT (Linksys Router)                                    │
│              dnsmasq (any version < 2.92rel2)                        │
│                                                                      │
│   resolv-file=/etc/resolv.conf                                      │
│   → nameserver <LAPTOP_WAN_IP>  ← set via GUI, forwards to us      │
│                                                                      │
└─────────────────────────────────────────────────────────────────────┘

Data flow:
  1. Tool sends DNS query to DUT LAN IP (port 53)
  2. DUT's dnsmasq can't resolve locally → forwards upstream to LAPTOP_WAN_IP
  3. Our malicious server on WAN interface replies with exploit payload
  4. DUT's dnsmasq processes the malicious response → crash/hang/survive
  5. Tool checks DUT state via SSH (read-only)

उदाहरण सेटअप (आपके IP अलग होंगे):

मुख्य आवश्यकता: लैपटॉप WAN IP और DUT WAN IP एक ही सबनेट पर होने चाहिए, ताकि DUT लैपटॉप को अपस्ट्रीम DNS सर्वर के रूप में पहुँच सके।

यह कैसे काम करता है

┌──────────┐     ┌───────────┐     ┌──────────────────┐     ┌──────────┐
│  SETUP   │ ──► │  TRIGGER  │ ──► │  STATE INSPECT   │ ──► │  VERDICT │
│          │     │           │     │                  │     │          │
│ Start    │     │ Send DNS  │     │ SSH to DUT:      │     │ PASS:    │
│ malicious│     │ query to  │     │ - pidof dnsmasq  │     │ survived │
│ DNS srv  │     │ DUT→DUT   │     │ - PID changed?   │     │          │
│ on WAN   │     │ forwards  │     │ - dmesg crash?   │     │ FAIL:    │
│ interface│     │ to us→we  │     │ - /var/log/msg   │     │ crashed/ │
│ (10.0.0. │     │ reply w/  │     │                  │     │ hung     │
│  211:53) │     │ exploit   │     │ Liveness query   │     │          │
│          │     │ payload   │     │ (version.bind)   │     │          │
└──────────┘     └───────────┘     └──────────────────┘     └──────────┘

NOTE: Tool does NOT modify DUT settings. User must set DNS to 10.0.0.211 via GUI.

QA परीक्षण प्रक्रिया

पूर्वापेक्षाएँ

• दो नेटवर्क इंटरफ़ेस (LAN + WAN) वाला परीक्षण लैपटॉप
• paramiko स्थापित के साथ Python 3.6+ (pip install paramiko)
• DUT तक SSH एक्सेस (रूट क्रेडेंशियल्स)
• DUT एडमिन GUI सुलभ

चरण 1: भौतिक कनेक्शन

परीक्षण लैपटॉप को DUT से दो केबलों के साथ कनेक्ट करें:

कनेक्ट करने के बाद, अपने लैपटॉप के IP नोट करें:

# Find your IPs
ip addr show | grep "inet "
# Example output:
#   inet 192.168.1.254/24 ...  ← this is your LAN IP
#   inet 10.0.0.211/24 ...     ← this is your WAN IP (use this for --laptop)

चरण 2: GUI के माध्यम से DUT DNS को लैपटॉप पर सेट करें

1. ब्राउज़र खोलें और DUT एडमिन पृष्ठ पर जाएँ:
   • जैसे, http://192.168.1.1 या http://myrouter.local
2. एडमिन क्रेडेंशियल्स से लॉग इन करें
3. नेविगेट करें: Connectivity → Internet Settings → Edit (IPv4 के आगे)
4. DNS के अंतर्गत: Static DNS चुनें
5. DNS 1 को अपने लैपटॉप के WAN IP पर सेट करें (जैसे, 10.0.0.211)
6. Apply पर क्लिक करें
7. सेटिंग्स प्रभावी होने के लिए 5-10 सेकंड प्रतीक्षा करें

चरण 3: उपकरण चलाएँ

cd /path/to/dnsmasq-cve-2026/

# Run all 6 CVE tests:
sudo python3 dnsmasq_cve_verify.py --laptop <YOUR_WAN_IP> --dut <DUT_LAN_IP> --dut-pass <SSH_PASSWORD>

# Example:
sudo python3 dnsmasq_cve_verify.py --laptop 10.0.0.211 --dut 192.168.1.1 --dut-pass '12345Asdf@'

उपकरण निम्न कार्य करेगा:

1. SSH के माध्यम से DUT से कनेक्ट होगा (रीड-ओनली)
2. आपके लैपटॉप के WAN IP पर एक दुर्भावनापूर्ण DNS सर्वर प्रारंभ करेगा
3. सत्यापित करेगा कि DUT उसे DNS क्वेरी अग्रेषित कर रहा है
4. प्रत्येक CVE के लिए शोषण पेलोड भेजेगा
5. जाँचेगा कि dnsmasq क्रैश हुआ या हैंग हुआ
6. प्रति CVE PASS/FAIL रिपोर्ट करेगा

चरण 4: परिणाम पढ़ें

• PASS = DUT सुरक्षित है (सुविधा सक्रिय नहीं है, या आक्रमण से बच गया)
• FAIL = dnsmasq क्रैश या हैंग हुआ (असुरक्षित!)
• ERROR = कनेक्ट नहीं हो सका या DUT अग्रेषित नहीं कर रहा

चरण 5: DUT DNS पुनर्स्थापित करें

1. DUT एडमिन GUI पर वापस जाएँ
2. Connectivity → Internet Settings → Edit
3. DNS के अंतर्गत: Automatic (from ISP) चुनें या स्टेटिक प्रविष्टि हटाएँ
4. Apply पर क्लिक करें

समस्या निवारण

परीक्षण परिणाम (2026-05-31)

dnsmasq 2.78 प्लेटफ़ॉर्म (समग्र: PASS)

dnsmasq 2.90 प्लेटफ़ॉर्म (समग्र: PASS)

निष्कर्ष

परीक्षित सभी Linksys राउटर अपने प्रोडक्शन बिल्ड कॉन्फ़िगरेशन में 6 CVE में से किसी के लिए भी व्यावहारिक रूप से शोषण योग्य नहीं हैं। खतरनाक सुविधाएँ (DNSSEC, dnsmasq-माध्यम DHCPv6) या तो संकलित नहीं हैं या कॉन्फ़िगर नहीं की गई हैं। गहराई-में-बचाव के रूप में पैच फिर भी अनुशंसित हैं।

अपेक्षित परिणाम

फिक्स-पूर्व (dnsmasq 2.78, बिना-DNSSEC बिल्ड):

फिक्स-पूर्व (DNSSEC सक्षम के साथ dnsmasq 2.90):

फिक्स-पश्चात (dnsmasq 2.92rel2 या बैकपोर्ट पैच लागू): सभी 6 CVE → PASS

आवश्यकताएँ

• paramiko के साथ Python 3.6+ (pip install paramiko)
• लैपटॉप पर रूट/sudo (पोर्ट 53 पर DNS बाइंड करने के लिए)
• DUT तक SSH एक्सेस (रीड-ओनली — प्रक्रिया स्थिति जाँच के लिए उपयोग)
• लैपटॉप DUT के LAN से कनेक्टेड (192.168.1.x नेटवर्क)

विकल्प संदर्भ

अन्य उपकरण

रिमोट ब्लैक-बॉक्स परीक्षक (test_dnsmasq_cve_remote.py)

केवल हल्का संस्करण जाँच — यह निर्धारित करने के लिए version.bind क्वेरी करता है कि dnsmasq संस्करण फिक्स से नीचे है या नहीं। कोई SSH नहीं, कोई सेटअप नहीं, कोई शोषण पेलोड नहीं।

python3 test_dnsmasq_cve_remote.py 192.168.1.1

ऑन-डिवाइस स्क्रिप्ट (test_dnsmasq_cve_on_device.sh)

SSH/सीरियल के माध्यम से सीधे DUT पर चलती है। बाइनरी संस्करण और संकलन विकल्पों की जाँच करती है।

scp test_dnsmasq_cve_on_device.sh [email protected]:/tmp/
ssh [email protected] "sh /tmp/test_dnsmasq_cve_on_device.sh"

दुर्भावनापूर्ण DNS सर्वर (malicious_dns_server.py)

मैनुअल परीक्षण के लिए स्टैंडअलोन शोषण सर्वर। इसे चलाएँ, DUT के अपस्ट्रीम DNS को इसकी ओर इंगित करें, फिर crash-5172.evil.test, crash-2291.evil.test आदि के लिए क्वेरी ट्रिगर करें।

sudo python3 malicious_dns_server.py --port 53
# Then on DUT: configure upstream → this host
# Then trigger: dig @192.168.1.1 crash-5172.evil.test

फिक्स के बाद सत्यापन

पैच लागू करने और नया फ़र्मवेयर फ्लैश करने के बाद, पुनः चलाएँ:

sudo python3 dnsmasq_cve_verify.py --laptop <YOUR_WAN_IP> --dut <DUT_LAN_IP> --dut-pass <SSH_PASS>
# Expected: all 6 PASS

आवश्यकताएँ सारांश

संदर्भ

• ISPreview: https://www.ispreview.co.uk/index.php/2026/05/string-of-dnsmasq-vulnerabilities-threatens-uk-broadband-routers.html
• Help Net Security: https://www.helpnetsecurity.com/2026/05/12/dnsmasq-vulnerabilities-cve/
• अपस्ट्रीम पैच: https://thekelleys.org.uk/dnsmasq/CVE/
• dnsmasq चेंजलॉग: https://thekelleys.org.uk/dnsmasq/CHANGELOG