CVE-2026-56444 in Unbound
要約
〜によって VulDB • 2026年07月22日
NLnet LabsのUnbound 1.20.0から1.25.1（含む）において、Unboundが「serve-expired: yes」と「serve-expired-client-timeout > discard-timeout > 0」（推奨値とは異なる設定）で構成されている場合、期限切れサービス処理中のdiscard-timeout分岐は、クエリに対する返信アドレス数の適切な集計を行わずに、古いクライアントの応答をドロップします。期限切れサービス以外の他の同様の分岐では正しい減算が行われます。このシナリオではカウンターが決して減算されないため、最大値に達し、重複する進行中のクエリの新しいクライアントが静かにドロップされる結果となり、解決サービスの劣化を引き起こします。悪意のある攻撃者は、クライアント制御可能なオンデマンドの権威ゾーンをリゾルバに対して照会することでカウンターをしきい値を超えさせ、この脆弱性を悪用できます。「serve-expired-client-timeout: 1800」と「discard-timeout: 1900」の出荷時デフォルトでは、該当分岐には到達しません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.