CVE-2026-44687
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W NLnet Labs Unbound od wersji 1.13.2 do 1.25.1 wykryto błąd off-by-one w logice 'harden-below-nxdomain', który powoduje, że strefy typu stub lub forward znajdujące się poniżej podpisanej strefy DNSSEC mogą być przesłonięte przez bezpieczną odpowiedź NXDOMAIN z nadrzędnej strefy. Skutkuje to ominięciem konfiguracji i brakiem kontaktu z skonfigurowaną strefą.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do blokowania zapytań do skonfigurowanych stref, co prowadzi do przerw w działaniu usług DNS i potencjalnego przejęcia ruchu.
Rekomendacja
Zaleca się aktualizację Unbound do wersji 1.25.2 lub nowszej, która zawiera poprawkę dla tego błędu. Tymczasowo można wyłączyć opcję 'harden-below-nxdomain'.
Oryginalny opis (angielski, źródło NVD)
In NLnet Labs Unbound 1.13.2 up to and including 1.25.1, stub or forward zones where the name is below an intermediate labed below a DNSSEC signed zone could be shadowed by the intermediate label's secure NXDOMAIN answer from the parent. This is caused by an off-by-one error in 'harden-below-nxdomain' logic; enabled by default. It effectively bypasses the configuration and the configured stub/forward zone is never contacted. 'harden-below-nxdomain' does an upward DNS cache walk together with a delegation point guard that does not allow NXDOMAIN synthesis above stub/forward zones. The guard tests the domain name but before stripping a label. This results in an iteration where the domain name equals the configured stub/forward zone apex that passes the guard, strips one more label, and probes the cache at the apex's immediate public parent. If that parent has a cached DNSSEC-secure NXDOMAIN, which it will for any private namespace nested two or more labels under a signed public name, the walk returns it and the configured stub/forward upstream is never contacted. This can only be triggered by the query for the intermediate label (between the stub/forward apex and the DNSSEC parent zone).