dnsmasq爆出6个严重CVE漏洞：站长和运维人员速查

2026年5月22日，CERT协调中心（CERT/CC）发布了6个针对dnsmasq的严重安全漏洞CVE。dnsmasq是一款广泛用于Linux系统的轻量级DNS/DHCP/TFTP服务器软件，被大量路由器、服务器和嵌入式设备使用。如果你的服务器或网络设备运行着dnsmasq，现在是时候检查并更新了。

什么是dnsmasq？

dnsmasq是一个轻量级的DNS转发器和DHCP服务器，常用于：

• 小型网络的DNS和DHCP服务
• 路由器和嵌入式设备的DNS解析
• Docker和Kubernetes的DNS服务
• Pi-hole等广告过滤方案
• 开发环境的本地DNS配置

漏洞详情

CERT此次发布的6个CVE涉及dnsmasq的多个组件，主要包括：

• DNS解析漏洞：可能导致缓冲区溢出或内存损坏
• DHCP服务漏洞：可能被利用进行远程代码执行
• TFTP服务漏洞：可能导致信息泄露或拒绝服务

这些漏洞的严重程度从”高”到”严重”不等，攻击者可能利用这些漏洞实现远程代码执行、拒绝服务攻击或信息泄露。

影响范围

受影响的系统包括：

• 运行dnsmasq的Linux服务器
• 使用dnsmasq的路由器和嵌入式设备
• Docker和Kubernetes环境中使用dnsmasq的容器
• Pi-hole等基于dnsmasq的网络工具
• 任何使用dnsmasq进行DNS解析的系统

如何检查你的系统是否受影响

检查dnsmasq版本：

dnsmasq --version

检查dnsmasq是否正在运行：

systemctl status dnsmasq
# 或者
ps aux | grep dnsmasq

修复建议

1. 立即更新：通过包管理器更新dnsmasq到最新版本

   # Ubuntu/Debian
   sudo apt update && sudo apt upgrade dnsmasq
   
   # CentOS/RHEL
   sudo yum update dnsmasq
   
   # Alpine
   apk upgrade dnsmasq

2. 如果无法立即更新：考虑暂时禁用dnsmasq，使用其他DNS方案
3. 网络层面防护：限制对dnsmasq服务的访问，只允许可信网络连接
4. 监控日志：密切关注dnsmasq日志中的异常活动

替代方案

如果dnsmasq的风险让你担忧，可以考虑以下替代方案：

• systemd-resolved：systemd自带的DNS解析器
• Unbound：验证型DNS解析器
• CoreDNS：云原生DNS服务器，适合Kubernetes环境
• AdGuard Home：带有广告过滤功能的DNS服务器

总结

dnsmasq作为广泛使用的DNS/DHCP服务软件，此次爆出的6个CVE漏洞影响范围广泛。站长和运维人员应立即检查系统中的dnsmasq版本，及时更新到安全版本。对于关键业务系统，建议在更新前做好备份，并在测试环境中验证更新不会影响现有服务。

本文参考来源：dnsmasq邮件列表公告 | CERT漏洞数据库