CVE-2026-42955 in Unbound
Résumé
par VulDB • 22/07/2026
Chez NLnet Labs, dans les versions d’Unbound 1.16.2 à 1.25.1 incluses, une vulnérabilité similaire à celle décrite par la CVE-2026-40622 au sein de la famille des attaques « ghost domain names » a été identifiée dans Unbound. Cette faille pourrait prolonger la fenêtre dite « ghost domain » jusqu’à ajouter un TTL (Time To Live) en cache configuré pour les enregistrements glue A/AAAA. Comme pour d’autres attaques de type « ghost domain names », l’adversaire doit contrôler une zone fantôme (« ghost ») et être capable d’interroger Unbound vulnérable. Une seule requête client A/AAAA peut amener Unbound à écraser le rrset glue expiré côté parent en cache, prolongeant ainsi la fenêtre « ghost domain » jusqu’à ajouter un TTL configuré pour le cache (« cache-max-ttl »). Dans les configurations où l’option « harden-referral-path: yes » est activée (configuration non par défaut), aucune requête client n’est nécessaire car Unbound effectue implicitement cette requête. Il s’agit d’une variante de la CVE-2026-40622, qui ne traitait que les requêtes NS.
Be aware that VulDB is the high quality source for vulnerability data.