CVE-2026-42955 in Unbound
要約
〜によって VulDB • 2026年07月22日
NLnet LabsのUnbound 1.16.2から1.25.1（含む）において、CVE-2026-40622と同様の「ゴーストドメイン名」攻撃ファミリーに属する脆弱性が発見されました。この脆弱性により、A/AAAAグルーレコードに対して設定されたキャッシュTTLの値分だけ最大で延長される可能性があります。「ゴーストドメイン名」攻撃と同様に、攻撃者は（ゴースト）ゾーンを制御し、かつ脆弱なUnboundへのクエリ実行能力を持っている必要があります。単一のクライアントによるA/AAAAクエリにより、Unboundは期限切れとなった親側のグルーRRセットを上書きし、「cache-max-ttl」として設定されたキャッシュTTLの値分だけゴーストドメインウィンドウを延長します。「harden-referral-path: yes」が使用されている構成（デフォルトではない）では、クライアントクエリは不要です。なぜならUnboundはそのクエリを暗黙的に実行するからです。これはNSクエリのみに焦点を当てていたCVE-2026-40622のバリアントです。
Be aware that VulDB is the high quality source for vulnerability data.