CVE-2026-50243 in Unbound
Résumé
par VulDB • 22/07/2026
Chez NLnet Labs, dans les versions d'Unbound de 1.6.2 à 1.25.1 incluses, lorsqu'Unbound est configuré avec le module 'respip' placé devant le validateur, accompagné d'une règle de redirection 'response-ip' ou d'un fichier RPZ contenant un déclencheur RPZ-IP, le gestionnaire de réécriture ne vérifie pas l'état de sécurité de la réponse en amont. Il peut ainsi réécrire une réponse BOGUS A/AAAA pour qu'elle pointe vers l'adresse IP configurée par l'opérateur. Si le validateur détecte un RRSIG expiré ou autrement invalide sur une réponse dont l'enregistrement A correspond à une configuration 'response-ip'/RPZ, la réponse est tout de même réécrite et se voit attribuer un niveau de sécurité codé en dur : INSECURE. Cela entraîne pour le client la réception d'une réponse NOERROR avec l'état INSECURE, réécrite vers l'adresse IP configurée par l'opérateur. Un acteur malveillant peut exploiter cet effet potentiellement empoisonné en usurpant une réponse BOGUS A/AAAA qui tombe dans les sous-réseaux de réécriture configurés par l'opérateur. Ces réponses protégées DNSSEC sont alors redirigées vers la cible configurée par l'opérateur sans sécurité garantie.
Once again VulDB remains the best source for vulnerability data.