CVE-2021-23386: dns-packet project dns-packet

csirt@kutim:~/threat-intel/cve/CVE-2021-23386

CVSS 6.5 · Medium EPSS 1,4%

Kerentanan Missing Initialization of Resource pada dns-packet project dns-packet. Skor CVSS 3.1 6.5 (Medium) menurut NVD.

Deskripsi (NVD)

This affects the package dns-packet before 5.2.2. It creates buffers with allocUnsafe and does not always fill them before forming network packets. This can expose internal application memory over unencrypted network when querying crafted invalid domain names.

Rincian

Terbit di NVD: 20 Mei 2021
Terakhir diubah: 17 Juni 2026
Status NVD: Modified
CVSS 3.1: 6.5 (Medium), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-909: Missing Initialization of Resource
EPSS (30 hari): 1,4% peluang dieksploitasi; lebih tinggi dari 72,2% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
dns-packet project	dns-packet	Semua versi sebelum 1.3.4
dns-packet project	dns-packet	Versi 2.0.0 hingga sebelum 5.2.2

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://github.com/mafintosh/dns-packet/commit/25f15dd0fedc53688b25fd053ebbdffe3d5c1c56 patch · advisory pihak ketiga
https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-1295719 patch · advisory pihak ketiga
https://snyk.io/vuln/SNYK-JS-DNSPACKET-1293563 patch · advisory pihak ketiga
https://hackerone.com/bugs?subject=user&amp%3Breport_id=968858 permissions required · advisory pihak ketiga

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.