Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2023-50387
Vulnerabilidad CVE-2023-50387
Publicado: 16/12/2025
Escrito por: Lizzie Danielson
¿Qué es la vulnerabilidad CVE-2023-50387?
CVE-2023-50387, conocida como KeyTrap, es una vulnerabilidad de denegación de servicio (DoS) descubierta en los resolutores de DNS que validan DNSSEC, incluidos BIND, Unbound y otras implementaciones de resolutores recursivos. Permite a los atacantes agotar los recursos del sistema al explotar una falla en la forma en que se validan las firmas DNSSEC dentro de la lógica de procesamiento de los registros DNSKEY y RRSIG. Al crear respuestas DNS maliciosamente complejas, los atacantes pueden forzar a los resolutores afectados a realizar operaciones criptográficas excesivas, lo que agota la CPU y deja al resolutor sin respuesta.
Esta vulnerabilidad se registra bajo el programa Common Vulnerabilities and Exposures y presenta riesgos significativos para cualquier organización que dependa de resolutores de DNS que realicen validación DNSSEC.
¿Cuándo se descubrió?
La vulnerabilidad CVE-2023-50387 fue descubierta y divulgada de forma responsable por investigadores del ATHENE National Research Center for Applied Cybersecurity (Elias Heftrig, Haya Schulmann, Niklas Vogel y Michael Waidner).
Fecha de descubrimiento: 2 de noviembre de 2023 (divulgación inicial al proveedor)
Fecha de divulgación pública: 13 de febrero de 2024
El equipo de ATHENE se coordinó con los principales proveedores de software DNS para el desarrollo y lanzamiento público de parches antes de la divulgación completa. El centro se especializa en ciberseguridad aplicada.
Productos y versiones afectados
Producto | Versiones afectadas | Versiones corregidas / enlaces de parches |
BIND 9 | 9.0.0 → 9.16.46, 9.18.0 → 9.18.22, 9.19.0 → 9.19.20 | |
Unbound | Hasta 1.19.1 | NLnet Labs Advisory |
Knot Resolver | 5.x anterior a los parches de febrero de 2024 | |
Akamai DNSi (CacheServe, AnswerX, Cloud y Managed) | Compilaciones anteriores a febrero de 2024 | |
dnsmasq y otros resolutores que validan DNSSEC | Versiones compatibles con DNSSEC anteriores a las actualizaciones de principios de 2024 | Consulta los avisos de cada proveedor |
Descripción técnica de CVE-2023-50387
Esta vulnerabilidad se origina en un defecto de complejidad algorítmica dentro del proceso de validación DNSSEC. Cuando un resolver recibe una respuesta DNS que contiene una gran cantidad de claves y firmas criptográficas, intenta verificar cada combinación posible de clave y firma. La ausencia de límites o protecciones computacionales en la rutina de validación le permite a un atacante enviar una respuesta DNS maliciosa que desencadena cálculos criptográficos excesivos.
Comportamiento de ejemplo:
dig @
Un dominio malicioso puede devolver miles de registros DNSKEY y RRSIG, lo que provoca el uso total de la CPU en el resolver durante la validación. Este defecto le permite a los atacantes dejar el resolver sin respuesta, lo que interrumpe la resolución DNS para redes y servicios enteros. Si bien no permite la ejecución arbitraria de código, impacta de forma crítica la disponibilidad a gran escala.
Tácticas, técnicas y procedimientos (TTPs)
Los adversarios pueden explotar CVE-2023-50387 de las siguientes maneras:
Operar una zona DNS maliciosa que envía respuestas DNSSEC manipuladas.
Aprovechar servidores DNS comprometidos o mal configurados para redirigir las consultas del resolver hacia dominios maliciosos.
Realizar ataques de DoS amplificados dirigidos a resolvers recursivos que efectúan validación DNSSEC.
Estos ataques pueden interrumpir aplicaciones orientadas a internet, VPN y servicios web que dependen de los resolvers afectados.
Indicadores de compromiso
Las organizaciones deben vigilar lo siguiente:
Uso sostenido o inexplicable de CPU alto en los resolvers DNS.
Tiempos de espera agotados en consultas DNS o fallas de resolución en las redes de clientes.
Registros que muestran consultas repetidas hacia dominios sospechosos o desconocidos con DNSSEC habilitado.
Los indicadores pueden incluir:
Consultas DNS a dominios que alojan conjuntos de DNSKEY y RRSIG de tamaño excesivo.
Conexiones salientes desde los resolvers hacia servidores autoritativos inesperados.
Alertas de mayor latencia o agotamiento de recursos en las herramientas de monitoreo.
Pruebas de concepto y exploits conocidos
Al momento de esta publicación, no se ha divulgado ningún exploit de prueba de concepto público, pero los detalles de la investigación del artículo KeyTrap de ATHENE demuestran condiciones reproducibles. Los principales proveedores y los CERT nacionales han advertido que la explotación es práctica y fácil de convertir en arma, con potencial de interrupción de servicios a gran escala si no se aplican los parches.
Cómo detectar la vulnerabilidad CVE-2023-50387
Las estrategias de detección incluyen:
Monitoreo de red: identificar respuestas DNS con cargas DNSSEC inusualmente grandes.
Herramientas basadas en el endpoint: usar registros de depuración o de consultas del resolver para detectar bucles de validación repetitivos.
Correlación con SIEM: consultar picos anómalos de CPU en el resolver vinculados a las rutinas de validación DNSSEC.
Impacto y riesgo de la vulnerabilidad CVE-2023-50387
La explotación puede causar:
Denegación de servicio en los resolvers DNS, lo que detiene la resolución de dominios.
Interrupciones del servicio en toda la red para aplicaciones, sitios web y sistemas de correo que dependen del DNS.
Posible explotación en ataques encadenados, donde el tiempo de inactividad facilita intrusiones secundarias o distracciones.
Dado que una gran parte de internet depende de resolvers con validación DNSSEC, este defecto representa un riesgo sistémico para la disponibilidad global.
Estrategias de mitigación y remediación
Para abordar CVE-2023-50387, las organizaciones deben:
Aplicar los parches de inmediato desde BIND, Unbound u otros proveedores de resolvers.
Limitar la tasa de las tareas de validación DNSSEC donde sea compatible.
Aislar o segmentar los resolvers para reducir el radio de impacto de los eventos de DoS.
Monitorear el uso excesivo de recursos vinculado a la actividad DNSSEC.
Deshabilitar temporalmente la validación DNSSEC solo si es absolutamente necesario y la continuidad operativa está en riesgo.
Preguntas frecuentes sobre la vulnerabilidad CVE-2023-50387
CVE-2023-50387 es una vulnerabilidad de ejecución remota de código (RCE) que los atacantes explotan para obtener control no autorizado de los sistemas afectados. Al explotar una validación de entrada inadecuada en [componente vulnerable específico], los atacantes pueden ejecutar cargas maliciosas de forma remota.
Los atacantes aprovechan campañas de phishing, actualizaciones falsificadas o servicios expuestos para atacar sistemas sin parches. Una vez que explotan la vulnerabilidad, pueden instalar malware o ejecutar comandos arbitrarios.
Si bien CVE-2023-50387 se mitiga con parches, los sistemas sin parches y los entornos sin protección siguen en riesgo. Mantenerse alerta con las actualizaciones y el monitoreo de seguridad es fundamental para una protección a largo plazo.
Las organizaciones deben aplicar los últimos parches del proveedor, habilitar herramientas de protección avanzada contra amenazas como EDR y monitorear el tráfico de red en busca de actividad sospechosa. El escaneo proactivo de vulnerabilidades también es muy eficaz.
