CVE-2026-44687 in Unbound
Riassunto
di VulDB • 22/07/2026
In NLnet Labs Unbound 1.13.2 fino a 1.25.1 inclusi, le zone stub o forward il cui nome si trova sotto un'etichetta intermedia situata al di sotto di una zona firmata DNSSEC possono essere oscurate dalla risposta NXDOMAIN sicura dell'etichetta intermedia proveniente dal genitore. Ciò è causato da un errore off-by-one nella logica 'harden-below-nxdomain'; abilitata per impostazione predefinita. Questo aggira efficacemente la configurazione e la zona stub/forward configurata non viene mai contattata. 'harden-below-nxdomain' esegue una scansione verso l'alto della cache DNS insieme a un guardiano del punto di delega che non consente la sintesi NXDOMAIN al di sopra delle zone stub/forward. Il guardiano testa il nome di dominio prima di rimuovere un'etichetta. Ciò comporta un'iterazione in cui il nome di dominio corrisponde all'apice della zona stub/forward configurata, superando il test del guardiano; viene rimossa un'ulteriore etichetta e la cache viene interrogata al genitore pubblico immediato dell'apice. Se tale genitore ha una risposta NXDOMAIN sicura DNSSEC memorizzata nella cache (cosa che avverrà per qualsiasi namespace privato annidato due o più etichette sotto un nome pubblico firmato), l'esplorazione restituisce tale valore e il server upstream della zona stub/forward configurata non viene mai contattato. Questo può essere innescato solo dalla query relativa all'etichetta intermedia (tra l'apice dello stub/forward e la zona genitore DNSSEC).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.