Podatności Unbound

W NLnet Labs Unbound do wersji 1.26.0 włącznie znaleziono podatność w walidatorze DNSSEC, która umożliwia atak DoS i potencjalne zdalne wykonanie kodu przez przetwarzanie DNSKEY. Specjalnie spreparowany DNSKEY z wskaźnikiem kompresji właściciela może przepełnić bufor.

W bibliotece Unbound od wersji 1.4.22 do 1.25.1 stwierdzono podatność na zatruwanie pamięci podręcznej DNS. Problem wynika z deterministycznego przypisywania zakresów portów UDP do wątków roboczych przy włączonej opcji SO_REUSEPORT, co umożliwia atakującemu przewidzenie portu źródłowego i obniżenie entropii transakcji DNS.

NLnet Labs Unbound do wersji 1.25.0 włącznie jest podatny na zatruwanie pamięci podręcznej poprzez promiscuous rekordy w sekcji autorytatywnej. Atakujący może wstrzyknąć rekordy inne niż NS (np. MX) wraz z rekordami adresowymi, które Unbound buforuje, co prowadzi do zatrucia pamięci podręcznej. Wersja 1.25.1 zawiera poprawkę odrzucającą rekordy adresowe z sekcji dodatkowej, jeśli nie są one jawnie związane z rekordami NS.

NLnet Labs Unbound od wersji 1.19.1 do 1.25.0 ma podatność w walidatorze DNSSEC polegającą na błędzie przypisania struktury podczas głębokiego kopiowania, co prowadzi do wiszącego wskaźnika i potencjalnego wykonania kodu.

NLnet Labs Unbound w wersjach od 1.22.0 do 1.26.1 zawiera błąd cyklu życia DNS-over-QUIC (DoQ) osiągalny przez zdalnego klienta DoQ w trybie wielowątkowym. Migracja ścieżki QUIC wywołana przez klienta może wejść w czyszczenie strumienia/połączenia, podczas gdy odpowiedź mesh nadal przechowuje wskaźnik do strumienia DoQ. Czyszczenie zwalnia strumień DoQ, a gdy oczekująca odpowiedź mesh później się kończy, następuje dereferencja nieaktualnego wskaźnika prowadząca do awarii.

NLnet Labs Unbound do wersji 1.26.1 włącznie ogranicza przechodzenie wskaźników kompresji dla każdej pojedynczej operacji na nazwie domeny, ale nie ma zbiorczego budżetu na przetwarzanie dekompresji przychodzącej. Wiele łańcuchowych wskaźników kompresji w wiadomości powoduje duże zużycie CPU. Złośliwy aktor z dostępem do zapytań rekurencyjnych i kontrolą zwykle delegowanego autorytetu, który serwuje specjalnie spreparowane odpowiedzi, może wykorzystać podatność i pogorszyć ogólną wydajność Unbound.

W NLnet Labs Unbound do wersji 1.26.1 włącznie, gdy skonfigurowano zarówno główny trust anchor, jak i dodatkowy 'trust-anchor:' dla strefy island-of-security, której rodzic jest udowodniony jako niezabezpieczony w łańcuchu głównym, złośliwy aktor mogący dostarczyć jedną sfałszowaną odpowiedź NXDOMAIN dla nazwy wewnątrz wyspy, z NSEC/SOA RRSIG 'SignerName' ustawionym na niezabezpieczonego rodzica, oszukuje walidator Unbound, aby użył głównego trust anchor, a następnie niezabezpieczonego rodzica, powodując, że rekord jest traktowany jako niezabezpieczony i odmawia istnienia rekordów w wyspie zaufania.

W NLnet Labs Unbound do wersji 1.26.1 włącznie występuje obserwowalny kanał boczny na poziomie pamięci podręcznej przy konfiguracji 'unwanted-reply-threshold > 0' (nie jest to konfiguracja domyślna). Gdy pakiet UDP przypominający odpowiedź trafi na port źródłowy używany przez zapytanie rekurencyjne, ale jego TXID nie pasuje do żadnego oczekującego zapytania, Unbound zlicza go jako niechcianą odpowiedź i po osiągnięciu progu czyści pamięć podręczną RRset i wiadomości, co pozwala zewnętrznemu obserwatorowi rozróżnić, czy kandydat na port pasuje do bieżącego portu źródłowego.

NLnet Labs Unbound do wersji 1.26.0 jest podatny na ataki typu algorithmic complexity (znane jako 'ReTrap'), które powodują degradację usługi. Ataki obejmują TagTrap (duża liczba niedopasowanych rekordów DNSKEY, RRSIG, DS), DelegationTrap (kosztowna iteracyjna walidacja dla głęboko zagnieżdżonych domen), NsecTrap (nadmiarowe nieprawidłowe rekordy NSEC) oraz AdditionalTrap (domyślna walidacja sekcji ADDITIONAL).

NLnet Labs Unbound od wersji 1.12.0 do 1.26.0 ma podatność use-after-free, gdy jest skompilowany z obsługą DNS-over-HTTPS (--with-libnghttp2). W ścieżkach błędów (np. RPZ drop, jostle) porzucony strumień DoH powoduje awarię całej sesji DoH i nie uwzględnia innych strumieni, prowadząc do use-after-free. Atakujący może to wywołać pojedynczym połączeniem DoH, ale wpływ jest ograniczony, ponieważ odczyty nie są kontrolowane przez użytkownika; jednak zahartowany alokator może wykryć błąd i kontrolowanie zakończyć proces, powodując DoS.

W NLnet Labs Unbound do wersji 1.26.0 występuje podatność na degradację usługi w procedurze odczytu TCP/DoT, gdzie nie ma limitu kolejnych odczytów. Złośliwy aktor, który może przesyłać strumieniowo i utrzymywać tempo odrębnych niebuforowanych nazw przez połączenie TCP/DoT, monopolizuje całą pętlę zdarzeń pojedynczego pracownika, dopóki jego zapisy wyprzedzają opróżnianie.

NLnet Labs Unbound od wersji 1.22.0 do 1.26.1 ma podatność use-after-free, gdy jest skompilowany z obsługą DNS-over-QUIC (--with-libngtcp2). Każdy strumień DoQ posiada bufor wyjściowy z odpowiedzią DNS, a bufor retransmisji ngtcp2 przechowuje płytki wskaźnik do tego bufora. Po RESET_STREAM od klienta bufor wyjściowy jest zwalniany, ale ngtcp2 nadal trzyma wpisy retransmisji, co prowadzi do użycia zwolnionej pamięci przy następnym PTO. Atakujący bez uprawnień może to osiągnąć, wysyłając zapytania DoQ, wstrzymując ACK, wysyłając RESET_STREAM i czekając na PTO, co prowadzi do nieprawidłowego zakończenia serwera.

W NLnet Labs Unbound od wersji 1.13.2 do 1.26.1, w strefach z włączonym ZONEMD (zonemd-check: yes) znajdujących się poniżej kotwicy zaufania, istnieje okno ataku, w którym (sfałszowane) zawartości strefy są serwowane (lub zapisywane na dysk) przed zakończeniem kontroli integralności ZONEMD. Jest to spowodowane asynchroniczną rozwiązywaniem DS/DNSKEY, które musi nastąpić przed kontrolą ZONEMD. Jeśli plik strefy jest zapisany na dysk podczas nieudanej kontroli, sfałszowane dane są ponownie ładowane przy starcie i dostępne do czasu zakończenia weryfikacji ZONEMD.

W NLnetLabs Unbound w wersjach od 1.20.0 do 1.26.0 występuje podatność na ścieżce kodu 'serve-expired', która powoduje podwójne dekrementowanie licznika 'wait-limit' na adres IP klienta, co w praktyce omija jeden ze środków ochronnych wprowadzonych dla DNSBomb (CVE-2024-33655). Złośliwy atakujący może to wykorzystać, kontrolując autorytatywną strefę z krótkim TTL, aby wpisy w pamięci podręcznej szybko wygasały. Każde 'wolne' zapytanie, na które autorytatywny serwer atakującego nie odpowiada, jest następowane przez zapytanie o wygasły wpis w pamięci podręcznej, które jest natychmiast obsługiwane przez ścieżkę 'serve-expired' i dekrementuje licznik dwukrotnie. To drugie zapytanie nazwano 'pompą'. Naprzemiennie wysyłając wolne zapytania i pompy, atakujący utrzymuje licznik na poziomie lub poniżej skonfigurowanego 'wait-limit' w nieskończoność i może utrzymywać dowolną liczbę oczekujących zapytań z jednego adresu IP, aż do globalnego limitu mesh (num-queries-per-thread), ostatecznie omijając jeden ze środków ochronnych wprowadzonych dla DNSBomb (CVE-2024-33655).

W Unbound od wersji 1.20.0 do 1.25.1, przy konfiguracji 'serve-expired: yes' i 'serve-expired-client-timeout > discard-timeout > 0', logika discard-timeout nieprawidłowo aktualizuje licznik odpowiedzi, co może doprowadzić do odrzucania nowych klientów i degradacji usługi. Atakujący może to wykorzystać, wysyłając zapytania do wolnej strefy autorytatywnej.

W NLnet Labs Unbound do wersji 1.25.1, podczas budowania kanonicznej formy RDATA dla zestawu rekordów RRSIG-covered PX/RP/MINFO/SOA, walidator oblicza adres drugiej osadzonej nazwy domeny jako 'datstart + dname_valid(datstart, ...)' i przekazuje go bezpośrednio do 'query_dname_tolower()' bez sprawdzania, czy druga nazwa faktycznie występuje w RDATA. Atakujący prowadzący autorytatywny serwer DNSSEC może dostarczyć rekord z brakującą drugą nazwą domeny (np. rekord SOA) i spowodować, że 'query_dname_tolower()' będzie przetwarzać nieaktualne bajty w buforze 'env->scratch_buffer', wychodząc poza jego alokację sterty, jeśli 'msg-buffer-size' został zmniejszony. Prowadzi to do przepełnienia bufora sterty.

W Unbound od wersji 1.22.0 do 1.25.1, zdalny, nieuwierzytelniony klient może wywołać asercję w libngtcp2 (jeśli skompilowano z asercjami) i zakończyć proces Unbound przez pojedyncze połączenie DoQ i jedno zapytanie DNS. Problem wynika z błędnego przekazania wartości '-1' do funkcji libngtcp2.

W Unbound od wersji 1.7.0 do 1.25.1, gdy w konfiguracji DNSCrypt jest więcej certyfikatów niż kluczy, Unbound wypełnia pozostałe sloty danymi '0xdb' z alokatora libsodium. Nieuwierzytelniony klient wysyłający datagram UDP ≥68 bajtów z pierwszymi 8 bajtami '0xdb' na port DNSCrypt może spowodować awarię serwera.

W Unbound od wersji 1.10.0 do 1.25.1, przy włączonej opcji 'serve-expired: yes' i regule 'response-ip' lub 'rpz-cname-override', zdalny klient kontrolujący delegowaną domenę może spowodować awarię demona. Problem wynika z niespójności w logice obsługi aliasów CNAME w funkcji serve-expired-client-timeout.

W Unbound od wersji 1.6.0 do 1.25.1, polecenia 'view_local_data' i 'view_local_datas' w 'unbound-control' tworzą gołą strefę lokalną dla widoku bez domyślnych stref chronionych (np. RFC 1918 reverse, AS112, .onion, .localhost). Powoduje to, że zapytania o te nazwy są kierowane do publicznego DNS zamiast odpowiadane lokalnie, omijając politykę lokalną.

W NLnet Labs Unbound od wersji 1.18.0 do 1.25.1, gdy Unbound nasłuchuje na interfejsie 'proxy-protocol-port' z włączoną opcją 'answer-cookie: yes', serwerowe ciasteczko SipHash (RFC 9018) jest obliczane na podstawie adresu sieciowego proxy, a nie adresu klienta zadeklarowanego w PROXYv2. Oznacza to, że jedno ciasteczko uzyskane przez dany węzeł proxy jest ważne dla wszystkich źródeł zadeklarowanych przez to proxy. Atakujący spoza ścieżki może zebrać jedno ciasteczko za pomocą jednego legalnego zapytania, a następnie odtworzyć je pod dowolnym sfałszowanym źródłem, omijając mechanizmy DNS Cookie.

W Unbound od wersji 1.25.0 do 1.25.1, poprawka umożliwiająca współpracę modułów 'respip' i 'dns64' tworzy płytką kopię nazwy widoku, co może prowadzić do uszkodzenia pamięci, gdy oryginalny właściciel nazwy widoku zostanie usunięty pod obciążeniem. Prawdopodobieństwo awarii jest niskie.

W NLnet Labs Unbound do wersji 1.25.1 włącznie, gdy włączona jest opcja 'unwanted-reply-threshold', rekordy glue 0.0.0.0/::0 mogą powodować pętlę, która prowadzi do czyszczenia pamięci podręcznej. Atakujący kontrolujący delegację może wielokrotnie wywołać czyszczenie cache bez wysyłania spoofowanych pakietów.

NLnet Labs Unbound w wersjach od 1.7.0 do 1.25.1 zawiera podatność, w której strefa auth/rpz z skonfigurowaną nazwą hosta primary, która rozwiązuje się do BOGUS A/AAAA, jest nadal uważana za możliwy punkt końcowy XFR. Złośliwy aktor, który może sfałszować rekord A/AAAA (bez ważnego RRSIG), staje się primary XFR i może zastąpić całą strefę lub politykę odpowiedzi resolwera.

W Unbound od wersji 1.6.2 do 1.25.1, gdy skonfigurowano moduł 'respip' przed walidatorem wraz z regułą przekierowania 'response-ip' lub plikiem RPZ z wyzwalaczem RPZ-IP, procedura przepisywania nie sprawdza statusu bezpieczeństwa odpowiedzi upstream i może przepisać BOGUS A/AAAA na skonfigurowany IP operatora. Prowadzi to do otrzymania przez klienta odpowiedzi INSECURE NOERROR przepisanej na IP operatora. Atakujący może wykorzystać to do fałszowania odpowiedzi BOGUS A/AAAA.

W Unbound od wersji 1.15.0 do 1.25.1, nazwa serwera TLS używana dla zapytań DoT jest przechowywana w strukturze 'serviced_query', ale także referencjonowana przez 'waiting_tcp'. Gdy struktura zostanie usunięta podczas uzgadniania TLS, a następnie wystąpi błąd, następuje dereferencja zwolnionego wskaźnika, co prowadzi do awarii demona.

NLnet Labs Unbound w wersjach od 1.22.0 do 1.25.1 zawiera podatność, w której pojedyncze zapytanie klienta o głęboko zagnieżdżoną nazwę pod podpisem DNSSEC może spowodować wysłanie większej liczby pakietów upstream niż skonfigurowany limit 'max-global-quota'. To skutecznie omija zabezpieczenie ograniczające ruch amplifikacyjny.

W NLnet Labs Unbound od 1.6.0 do 1.25.1 występuje podatność na replay wildcard RRset, która może być tymczasowo uznana za DNSSEC-secure na podstawie walidacji RRSIG i przechowana w cache. Późniejsza walidacja NSEC traktuje ją jako fałszywą, ale w międzyczasie inny wątek może użyć tego zestawu do odpowiedzi, podmieniając konkretny rekord na wildcard. Atak wymaga posiadania domeny z podpisem DNSSEC i rekordu CNAME wskazującego na rekord sąsiadujący z wildcardem.

W Unbound od wersji 1.7.0 do 1.25.1, niewystarczająca walidacja pola RRSIG.Labels w połączeniu z przedwczesnym zapisem do pamięci podręcznej podczas agresywnego przetwarzania NSEC (RFC 8198) prowadzi do zatrucia pamięci podręcznej. Pozwala to atakującemu kontrolującemu jedną delegowaną strefę na zatrucie dowolnych siostrzanych stref pod NSEC-podpisanymi domenami nadrzędnymi.

W NLnet Labs Unbound od wersji 1.13.2 do 1.25.1 wykryto błąd off-by-one w logice 'harden-below-nxdomain', który powoduje, że strefy typu stub lub forward znajdujące się poniżej podpisanej strefy DNSSEC mogą być przesłonięte przez bezpieczną odpowiedź NXDOMAIN z nadrzędnej strefy. Skutkuje to ominięciem konfiguracji i brakiem kontaktu z skonfigurowaną strefą.

W NLnet Labs Unbound do wersji 1.25.1 włącznie, aplikacje używające libunbound z włączoną opcją 'unwanted-reply-threshold' mogą zostać nagle zakończone, gdy próg zostanie osiągnięty, ponieważ funkcja 'libworker_alloc_cleanup' nie znajduje się na liście dozwolonych wywołań. Unbound sam w sobie nie jest podatny.

W serwerze DNS Unbound w wersjach od 1.16.2 do 1.25.1 wykryto podatność typu 'ghost domain names', która pozwala atakującemu kontrolującemu strefę ghost na przedłużenie okna ghost domain o jeden skonfigurowany TTL dla rekordów glue A/AAAA. W konfiguracji z 'harden-referral-path: yes' atak nie wymaga zapytania klienta.

W NLnet Labs Unbound od wersji 1.22.0 do 1.25.1 wykryto podatność w obsłudze zapytań DNS-over-QUIC (DoQ). Przedwcześnie zakończone zapytania DoQ nie są prawidłowo rozliczane, co prowadzi do zawyżenia liczby oczekujących odpowiedzi dla już przetwarzanych zapytań. Powoduje to degradację usługi rozwiązywania nazw dla nowych klientów.

W Unbound od wersji 1.9.0 do 1.25.1, podczas obsługi zapytań DNSCrypt przez TCP, procedura szyfrująca odpowiedź nie ogranicza długości odpowiedzi do rozmiaru bufora docelowego. Odpowiedź większa niż 65504 bajtów może spowodować zapis poza przydzieloną pamięcią, prowadząc do awarii resolwera (DoS). Wymaga włączenia obsługi DNSCrypt.

W Unbound 1.22.0 do 1.25.1, gdy włączony jest downstream DNS-over-QUIC (DoQ), pierwsze dwa dwukierunkowe strumienie na nowym połączeniu QUIC (stream_id 0 i 4) omijają limit 'quic-size' i alokują duże bufory po otrzymaniu tylko 2-bajtowego prefiksu długości. Zdalny klient może łatwo przekroczyć limit 'quic-size', powodując nadmierną alokację pamięci i odmowę usługi dla nowych klientów DoQ.

NLnet Labs Unbound w wersjach od 1.22.0 do 1.25.1 w środowiskach DNS-over-QUIC z wysoką współbieżnością może ulec awarii z powodu asercji w libngtcp2 dotyczącej znaczników czasu monotonicznych. Unbound używał czasu rzeczywistego zamiast monotonicznego, co przy dużym obciążeniu powoduje przerwanie działania serwera.

NLnet Labs Unbound od wersji 1.14.0 do 1.25.0 ma podatność niespójności blokad, która przy spełnieniu określonych warunków (wielowątkowość, przeładowanie RPZ XFR, strefa RPZ z wyzwalaczami 'rpz-nsip'/'rpz-nsdname') może prowadzić do use-after-free na stercie i awarii. Atakujący może wykorzystać podatność, jeśli warunki są spełnione. Unbound 1.25.1 zawiera poprawkę.

NLnet Labs Unbound do wersji 1.25.0 włącznie zawiera podatność podczas obsługi odpowiedzi z bardzo dużymi zestawami rekordów (RRsets), które wymagają kompresji nazw. Złośliwe odpowiedzi upstream z bardzo dużymi RRsets, których rekordy nie mają wspólnego sufiksu powyżej domeny głównej, mogą spowodować, że Unbound spędzi znaczną ilość czasu na stosowaniu kompresji nazw w odpowiedziach downstream. Może to prowadzić do degradacji wydajności i ostatecznie do odmowy usługi w dobrze zorganizowanych atakach. Limit kompresji wprowadzony w wersji 1.21.1 nie uwzględniał przypadku, gdy rekordy nie mają wspólnego sufiksu powyżej domeny głównej, co powodowało pominięcie licznika kompresji. Poprawka w wersji 1.25.1 zwiększa licznik kompresji niezależnie od wyniku wyszukiwania w drzewie kompresji.

NLnet Labs Unbound do wersji 1.25.0 włącznie zawiera podatność na odmowę usługi w walidatorze DNSSEC, która może prowadzić do awarii procesu w przypadku złośliwych odpowiedzi upstream. Problem wynika z użycia niewłaściwego licznika do obliczania offsetów zapisu dla zestawów rekordów w sekcji ADDITIONAL. Atakujący kontrolujący domenę podpisaną DNSSEC może wywołać awarię pojedynczym zapytaniem.

Podatność w Unbound (wersje 1.14.0 do 1.25.0) powoduje przepełnienie sterty podczas kodowania wielu opcji NSID, DNS Cookie i EDNS Padding w pakiecie odpowiedzi. Błąd w obliczeniach rozmiaru pola EDNS prowadzi do zapisu poza przydzieloną pamięcią.

NLnet Labs Unbound do wersji 1.25.0 włącznie ma podatność w walidatorze DNSSEC, gdzie kod konsultujący negatywną pamięć podręczną dla rekordów DS nie uwzględnia limitu obliczeń skrótu NSEC3 wprowadzonego w wersji 1.19.1.

NLnet Labs Unbound w wersjach do 1.25.0 zawiera podatność w logice jostle, która może obniżyć wydajność rozwiązywania nazw. Duplikujące się zapytania mogą odświeżać znacznik czasu, uniemożliwiając logice jostle zastąpienie starych zapytań nowymi. Atakujący kontrolujący wolno odpowiadający serwer DNS może wykorzystać tę podatność do degradacji wydajności Unbound.

NLnet Labs Unbound do wersji 1.25.0 włącznie jest podatny na atak degradacji usługi związany z parsowaniem długich list przychodzących opcji EDNS. Przeciwnik wysyłający zapytania ze zbyt wieloma opcjami EDNS może zablokować wątki Unbound podczas parsowania i tworzenia wewnętrznych struktur danych dla tych opcji. Skoordynowane ataki mogą prowadzić do degradacji i/lub odmowy usługi. Unbound 1.25.1 zawiera poprawkę ograniczającą akceptowane przychodzące opcje EDNS do 100.

Unbound w wersjach od 1.16.2 do 1.25.0 jest podatny na atak typu 'ghost domain names', który może wydłużyć okno ghost domain o wartość TTL. Atak wymaga kontroli nad strefą ghost i możliwości wysłania zapytania do podatnego Unbounda. Łatka dostępna w wersji 1.25.1.

NLnet Labs Unbound od wersji 1.6.2 do 1.25.0 włącznie ma podatność na odmowę usługi, gdy skompilowano z obsługą DNSCrypt. Złe zapytanie DNSCrypt może spowodować niedomiar bufora w procedurze odczytu pakietów, prowadząc do przepełnienia sterty.

Złośliwy serwer backend może wysłać spreparowaną odpowiedź SVCB na żądanie Discovery of Designated Resolvers (DDR), gdy jest ono wywoływane przez opcję autoUpgrade (Lua) dla newServer lub ustawienie auto_upgrade (YAML). DDR nie jest domyślnie włączone.

NLnet Labs Unbound do wersji 1.24.1 włącznie jest podatny na możliwe ataki przejęcia domeny. Nieselekcjonowane zestawy rekordów NS, które uzupełniają pozytywne odpowiedzi DNS w sekcji autorytatywnej, mogą zostać wykorzystane do zaktualizowania informacji o delegacji strefy w resolverze. Aktualizacja do wersji 1.24.1 zawiera poprawkę usuwającą niechciane rekordy NS, a wersja 1.24.2 dodatkowo usuwa je z odpowiedzi YXDOMAIN i non-referral nodata.

W Unbound znaleziono podatność związaną z nieprawidłowymi domyślnymi uprawnieniami, umożliwiającą każdemu procesowi spoza grupy unbound modyfikację konfiguracji środowiska uruchomieniowego Unbound. Jeśli proces może połączyć się przez localhost na port 8953, może zmienić konfigurację usługi unbound.service. Ta wada pozwala nieuprzywilejowanemu atakującemu manipulować działającą instancją, potencjalnie zmieniając forwardery, umożliwiając śledzenie wszystkich zapytań przekazywanych przez lokalny resolver, a w niektórych przypadkach zakłócając rozwiązywanie nazw.

Unbound przed wersją 1.9.5 pozwala na wstrzyknięcie konfiguracji w skrypcie create_unbound_ad_servers.sh po udanym ataku man-in-the-middle na sesję HTTP bez szyfrowania. Producent nie uważa tego za podatność samego Unbound, ponieważ skrypt jest wkładem społeczności, a nie częścią instalacji Unbound.

Unbound w wersjach przed 1.9.4 uzyskuje dostęp do niezainicjalizowanej pamięci, co pozwala zdalnym atakującym wywołać awarię za pomocą spreparowanego zapytania NOTIFY. Adres IP źródła zapytania musi być zgodny z regułą kontroli dostępu.