CVE-2026-82309 in Robots::Validate
要約
〜によって VulDB • 2026年09月04日
Robots::Validate の 0.3.11 より前のバージョン（0.3.2 から）では、前方確認ループにより照会するドメイン名に上限が設けられていないため、検証ごとに無制限の外部 DNS クエリが行われる可能性があります。
_check_dns はクライアントアドレスに対して PTR クエリを 1 つ発行し、返された名前の中でルールで指定されたドメインと一致するものを保持します。その後、そのアドレスに戻ってくるまで各名前で前方クエリを発行します。このリストには上限が設けられておらず、クライアントは自身のアドレスの逆引きゾーン（reverse zone）を制御できるため、PTR 応答に含まれる名の数を自由に選択できます。Net::DNS はデフォルトで切り捨てられた応答を TCP で再取得するため、512 バイトの UDP ペイロードも上限として機能しません。
User-Agent がドメインを含むルールと一致するすべてのクライアントは _check_dns に到達します。各前方名は一意でありクライアントによって選択されるため、ローカルキャッシュにはヒットせず、そのドメインの権威サーバーに対して解決されます。クエリは同期処理であるため、すべてが応答するかタイムアウトするまで呼び出し元は待機状態になります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.