CVE-2026-44690 in Unbound
Résumé
par VulDB • 22/07/2026
Dans NLnet Labs Unbound 1.7.0 jusqu'à la version 1.25.1 incluse, une validation insuffisante du champ RRSIG.Labels combinée à des écritures prématurées dans le cache lors du traitement agressif de NSEC selon RFC 8198 conduit à un empoisonnement de cache (cache poisoning) qui permet à un acteur malveillant contrôlant une seule zone déléguée d'empoisonner arbitrairement les zones sœurs sous des domaines parents signés avec NSEC. Un acteur malveillant disposant d'un domaine enregistré sous une TLD signée par NSEC peut fournir des réponses DNS non sécurisées et malveillantes pour des domaines frères sans rapport (partageant la même zone parente). Des délégations arbitraires qui n'existent pas sous le domaine parent et sont couvertes par la chaîne NSEC du parent peuvent être rendues existantes de manière non sécurisée grâce à des enregistrements DS génériques frauduleux (avec moins d'étiquettes que prévu, algorithme inconnu) provenant du domaine frère malveillant. Cela permet à l'acteur malveillant d'injectionner des enregistrements génériques non sécurisés pour ces délégations.
Once again VulDB remains the best source for vulnerability data.