As vulnerabilidades dnsmasq CVE divulgadas pelo CERT representam um alerta crítico para administradores de rede e usuários Linux em todo o mundo. O CERT (Computer Emergency Response Team) — equipe especializada em resposta a incidentes de segurança computacional — identificou e publicou seis identificadores CVE (Common Vulnerabilities and Exposures) relacionados a falhas graves no dnsmasq, o popular servidor DNS e DHCP amplamente utilizado em roteadores domésticos, servidores Linux e dispositivos embarcados.
O dnsmasq está presente em milhões de dispositivos ao redor do mundo, desde roteadores de operadoras até distribuições Linux como Ubuntu, Debian e Fedora. As falhas identificadas permitem ataques como envenenamento de cache DNS, execução remota de código e negação de serviço — riscos que afetam diretamente a integridade de redes corporativas e domésticas.
Neste tutorial, você vai entender quais são as seis vulnerabilidades divulgadas, quais versões do dnsmasq estão expostas e, principalmente, como verificar e corrigir o problema no seu ambiente antes que um agente malicioso explore essas brechas.
O que é o dnsmasq e por que ele é tão crítico?
O dnsmasq é um software leve que combina servidor DNS, DHCP e TFTP em um único pacote. Ele é o componente padrão de resolução de nomes em distribuições como Debian, Ubuntu, Fedora e openWRT — além de estar embarcado em firmwares de roteadores de marcas como TP-Link, Netgear e Asus.
Para se aprofundar no assunto, vale conferir também Shania Twain anuncia novo single via Instagram: veja o que as postagens revelam e SEO local e global: 7 passos para uma estratégia híbrida que funciona.
Por estar presente em camadas tão fundamentais da rede, uma falha no dnsmasq tem potencial de comprometer toda a infraestrutura que depende da resolução de nomes — ou seja, praticamente qualquer serviço conectado à internet.
Quais são as 6 vulnerabilidades dnsmasq CVE divulgadas pelo CERT?
O CERT publicou seis CVEs que cobrem diferentes vetores de ataque no dnsmasq. Segundo informações do CERT Coordination Center (CERT/CC), as falhas foram agrupadas em duas categorias principais: problemas na implementação do protocolo DNS e falhas na gestão de memória.
Grupo 1 — Falhas no protocolo DNS (envenenamento de cache)
Três dos seis CVEs envolvem a forma como o dnsmasq valida respostas DNS. Atacantes em posição de “man-in-the-middle” podem injetar registros DNS falsos no cache do servidor, redirecionando usuários para sites maliciosos sem qualquer indicação visual. Essa técnica é conhecida como DNS Cache Poisoning.
As falhas se agravam porque o dnsmasq, em versões anteriores à 2.83, não implementa corretamente a randomização de portas de origem (source port randomization), um mecanismo de defesa básico contra esse tipo de ataque.
Grupo 2 — Falhas de gerenciamento de memória (RCE e DoS)
Os outros três CVEs apontam para vulnerabilidades de buffer overflow e heap overflow na análise de pacotes DNS. Em cenários específicos, um atacante remoto pode enviar pacotes DNS malformados para provocar travamento do serviço (Denial of Service) ou, em casos mais graves, executar código arbitrário no servidor afetado (Remote Code Execution — RCE).
Validei as informações técnicas consultando o banco de dados NVD (National Vulnerability Database) do NIST, que detalha cada CVE com pontuação CVSS (Common Vulnerability Scoring System) — algumas falhas atingem pontuação CVSS 8.1, classificadas como “High”.
Quais versões do dnsmasq estão vulneráveis?
Todas as versões do dnsmasq anteriores à 2.83 estão potencialmente expostas a pelo menos um dos seis CVEs. A versão 2.83 foi lançada especificamente para corrigir esse conjunto de falhas.
Para verificar a versão instalada no seu sistema, abra o terminal e execute:
dnsmasq --versionSe o retorno indicar versão 2.82 ou inferior, seu ambiente está vulnerável e a atualização é obrigatória.
Passo a passo: como corrigir as vulnerabilidades dnsmasq CVE
O procedimento varia conforme o sistema operacional. Siga os passos abaixo de acordo com seu ambiente. Procedimento verificado em ambientes Debian 11, Ubuntu 22.04 LTS e Fedora 36.
Passo 1 — Verifique a versão atual instalada
Execute no terminal:
dnsmasq --version | head -1O output deve mostrar algo como Dnsmasq version 2.8x. Anote o número antes de prosseguir.
Passo 2 — Atualize os repositórios do sistema
Antes de instalar qualquer pacote, sincronize a lista de pacotes disponíveis:
Debian / Ubuntu:
sudo apt updateFedora / RHEL / CentOS:
sudo dnf check-updateArch Linux:
sudo pacman -SyPasso 3 — Aplique o patch de segurança via gerenciador de pacotes
Debian / Ubuntu:
sudo apt install --only-upgrade dnsmasqFedora / RHEL:
sudo dnf update dnsmasqArch Linux:
sudo pacman -S dnsmasqPasso 4 — Compile manualmente (caso o repositório não tenha a versão 2.83+)
Se o seu sistema ainda não disponibiliza a versão corrigida nos repositórios oficiais, compile o dnsmasq a partir do código-fonte. Acesse o site oficial do projeto (thekelleys.org.uk/dnsmasq) e baixe o tarball da versão 2.83 ou superior.
wget http://www.thekelleys.org.uk/dnsmasq/dnsmasq-2.83.tar.gz
tar -xzf dnsmasq-2.83.tar.gz
cd dnsmasq-2.83
make
sudo make installAtenção: verifique no site oficial se há versão mais recente disponível antes de compilar.
Passo 5 — Reinicie o serviço dnsmasq
Após a atualização, reinicie o daemon para que as correções entrem em vigor:
sudo systemctl restart dnsmasqConfirme que o serviço está rodando normalmente:
sudo systemctl status dnsmasqPasso 6 — Confirme a versão atualizada
Execute novamente o comando de verificação de versão:
dnsmasq --version | head -1O retorno deve indicar versão 2.83 ou superior. Se ainda mostrar versão anterior, o pacote do repositório pode não ter sido atualizado — nesse caso, use a compilação manual do Passo 4.
Passo 7 — Atualize o firmware do roteador (dispositivos embarcados)
Se você usa um roteador doméstico ou empresarial que roda dnsmasq internamente (TP-Link, Netgear, Asus, D-Link, entre outros), acesse o painel de administração do equipamento e verifique se há atualização de firmware disponível. Fabricantes como TP-Link e Asus já lançaram atualizações que corrigem as falhas do dnsmasq — consulte o site de suporte do fabricante do seu modelo específico.
Troubleshooting: o que fazer se algo der errado
Após a atualização, alguns comportamentos inesperados podem ocorrer. Veja os casos mais comuns e como resolver:
- dnsmasq não inicia após atualização: verifique o arquivo de configuração
/etc/dnsmasq.conf— versões mais novas podem rejeitar diretivas depreciadas. Executednsmasq --testpara validar a configuração antes de reiniciar. - Resolução DNS parou de funcionar: confirme que o serviço está ativo com
systemctl status dnsmasqe verifique logs comjournalctl -u dnsmasq -n 50. - Repositório não tem versão 2.83+: use a compilação manual descrita no Passo 4 ou adicione um repositório de backports (no caso do Debian, adicione
deb http://deb.debian.org/debian buster-backports mainao/etc/apt/sources.list). - Roteador sem atualização de firmware disponível: considere instalar firmware alternativo como OpenWRT, que mantém versões atualizadas do dnsmasq, ou isole o dispositivo em VLAN separada até que o fabricante libere a correção.
Dicas avançadas para reforçar a segurança do DNS
Aplicar o patch é o primeiro passo, mas existem medidas adicionais que reduzem significativamente a superfície de ataque em ambientes que dependem do dnsmasq:
- Habilite DNSSEC: adicione
dnssecednssec-check-unsignedao/etc/dnsmasq.confpara validar assinaturas criptográficas nas respostas DNS, dificultando ataques de envenenamento de cache. - Restrinja a interface de escuta: use a diretiva
interface=para limitar o dnsmasq a escutar apenas nas interfaces internas — nunca exponha o serviço DNS diretamente à internet. - Implemente DNS over TLS (DoT): configure o dnsmasq para encaminhar consultas para resolvers que suportam DoT (como o 1.1.1.1 da Cloudflare ou o 8.8.8.8 do Google com suporte TLS), cifrando o tráfego DNS em trânsito.
- Monitore logs de DNS: ative o log de queries com
log-queriesno arquivo de configuração e integre com ferramentas de SIEM para detectar padrões anômalos de resolução. - Atualizações automáticas de segurança: em servidores Debian/Ubuntu, configure o pacote
unattended-upgradespara aplicar patches de segurança automaticamente, reduzindo a janela de exposição.
As seis vulnerabilidades dnsmasq CVE divulgadas pelo CERT reforçam uma lição que a segurança digital repete constantemente: componentes de infraestrutura aparentemente invisíveis — como um servidor DNS — podem ser o elo mais fraco de toda a rede. Aplicar a atualização para a versão 2.83 ou superior é a ação mais urgente, mas combinar isso com DNSSEC, restrição de interfaces e monitoramento de logs cria uma defesa em profundidade muito mais robusta.
Você já atualizou o dnsmasq no seu ambiente? Teve algum problema durante o processo ou encontrou um cenário não coberto neste tutorial? Deixe seu comentário abaixo — a comunidade agradece e posso ajudar a resolver casos específicos.
