CVE-2026-44687 in Unbound
Zusammenfassung
von VulDB • 22.07.2026
In NLnet Labs Unbound 1.13.2 bis einschließlich Version 1.25.1 können Stub- oder Forwarding-Zonen, deren Name unterhalb eines Zwischenlabels liegt, das sich wiederum unter einer mit DNSSEC signierten Zone befindet, durch die sichere NXDOMAIN-Antwort des Elternservers für dieses Zwischenlabel überschattet werden. Dies wird durch einen Off-by-One-Fehler in der Logik von 'harden-below-nxdomain' verursacht; diese Funktion ist standardmäßig aktiviert. Sie umgeht effektiv die Konfiguration, sodass die konfigurierte Stub-/Forwarding-Zone niemals kontaktiert wird.
'harden-below-nxdomain' führt einen aufwärts gerichteten DNS-Cache-Walk zusammen mit einem Guard-Mechanismus für Delegation Points durch, der keine NXDOMAIN-Synthese oberhalb von Stub- oder Forwarding-Zonen erlaubt. Der Guard testet den Domainnamen jedoch vor dem Entfernen eines Labels (Label Stripping). Dies führt zu einer Iteration, bei der der Domainname gleich dem Apex der konfigurierten Stub-/Forwarding-Zone ist und somit den Guard besteht; anschließend wird ein weiteres Label entfernt und im Cache am unmittelbaren öffentlichen Elternknoten des Apexpunkts gesucht. Wenn dieser Elternknoten einen zwischengespeicherten DNSSEC-gesicherten NXDOMAIN-Eintrag enthält – was für jedes private Namespace der Fall ist, das zwei oder mehr Labels unter einem signierten öffentlichen Namen verschachtelt hat –, gibt der Walk diesen Eintrag zurück und die konfigurierte Stub-/Forwarding-Upstream-Quelle wird niemals kontaktiert. Dies kann nur durch eine Abfrage für das Zwischenlabel (zwischen dem Apex der Stub-/Forwarding-Zone und der DNSSEC-Elternzone) ausgelöst werden.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.