PowerDNS : paquet DNS piégé (CVE-2026-73206) et sept failles du Recursor, Debian 12 et 13 non corrigés
PowerDNS publie le 21/10/2026 les avis 2026-12 (Recursor, sept failles) et 2026-13 (Authoritative, CVE-2026-73206, CVSS 7,5 : déni de service par paquet piégé). Les paquets Debian 12 et 13 ne sont pas encore corrigés ; mettre à jour via le dépôt PowerDNS.
par Frédéric Vagner · publié le
- Sévérité
- Haute CVSS 7,5 / 10
- CVE
- CVE-2026-73206 CVE-2026-73205 CVE-2026-85555 CVE-2026-85556 CVE-2026-85557 CVE-2026-85558 CVE-2026-85559
- Produits
- DebianAutres Linux
- Versions touchées
- Authoritative Server jusqu'à 4.9.17, 5.0.7 et 5.1.4 ; Recursor jusqu'à 5.3.11 et 5.4.7
- Versions corrigées
- Authoritative 4.9.18, 5.0.8, 5.1.5 ; Recursor 5.3.12, 5.4.8 ; Debian : sid seulement (pdns-recursor 5.4.8, pdns 5.1.5)
- Correctif
- Correctif disponible
- Source
- doc.powerdns.com ↗
Qui est concerné ?
Les serveurs DNS PowerDNS Authoritative Server (jusqu'à 4.9.17, 5.0.7, 5.1.4) et PowerDNS Recursor (jusqu'à 5.3.11, 5.4.7). La CVE-2026-73206 est un défaut multi-éditeurs : d'autres serveurs DNS reçoivent aussi des correctifs. Selon le tracker Debian, Debian 12 (pdns 4.7.3-2, pdns-recursor 4.8.8-1+deb12u1) et Debian 13 (pdns 4.9.17-0+deb13u1, pdns-recursor 5.2.13-0+deb13u1) sont vulnérables ; seule la version de développement (sid) est corrigée.
Risque
| CVE | Produit | Faille | Gravité (CVSS) |
|---|---|---|---|
| CVE-2026-73206 | Authoritative, Recursor | Réponse DNS avec pointeurs de compression piégés : consommation excessive de ressources, déni de service | Haute (7,5) |
| CVE-2026-85555 | Recursor | Contournement de la validation DNSSEC et empoisonnement du cache (résolution de serveurs de noms hors bande) | Haute (7,5) |
| CVE-2026-85556 | Recursor | Validation absente du nom du pseudo-enregistrement OPT : durcissement ECS contourné | Haute (5,9) |
| CVE-2026-73205 | Recursor | Un client malveillant provoque trop de connexions TCP en TIME_WAIT | Moyenne (5,3) |
| CVE-2026-85557 | Recursor | Un client web sans négociation TLS monopolise l'accès web | Moyenne (5,3) |
| CVE-2026-85559 | Recursor | Lecture hors limites (findScopeZero) : arrêt possible | Moyenne (5,3) |
| CVE-2026-85558 | Recursor | Adresses de clients TCP fermés conservées jusqu'à l'arrêt du processus | Basse (3,7) |
Aucun risque de compromission du système selon l'éditeur ; l'impact est du déni de service et, pour CVE-2026-85555, de l'empoisonnement de cache. Exploitation active non confirmée. L'avis 2026-11 du 06/08/2026 (CVE-2026-52682, CVSS 7,5, consommation mémoire et CPU par paquet piégé) a été corrigé en 4.9.17 / 5.0.7 / 5.1.4, Recursor 5.2.13 / 5.3.10 / 5.4.5 et dnsdist 1.9.16 / 2.0.8 / 2.1.1 : Debian 13 est à jour pour cette faille, Debian 12 ne l'est pas.
Corriger
Installer Authoritative 4.9.18, 5.0.8 ou 5.1.5 et Recursor 5.3.12 ou 5.4.8 depuis les dépôts officiels PowerDNS (repo.powerdns.com). Pour dnsdist : se référer à l'avis 2026-11 (versions 1.9.16, 2.0.8, 2.1.1). Debian ne propose pas encore de paquet corrigé en stable : suivre le tracker.
pdns_server --version
pdns_recursor --version
apt policy pdns-server pdns-recursorContournement
- Recursor : limiter les clients autorisés (
allow-from) et l'accès à l'interface web/API. - CVE-2026-73205 : sous Linux, abaisser
net.ipv4.tcp_max_tw_bucketsà moins de 64 000 (indication de l'éditeur).
Vérifier
apt list --installed 2>/dev/null | grep -E 'pdns|dnsdist'
rec_control version
curl -s https://security-tracker.debian.org/tracker/source-package/pdns-recursor | grep -c vulnerable