CVE-2026-42955 in Unbound
요약
\~에 의해 VulDB • 2026. 07. 22.
NLnet Labs의 Unbound 1.16.2부터 1.25.1(포함)까지 버전에서, 'ghost domain names' 공격 계열과 관련된 CVE-2026-40622와 유사한 취약점이 발견되었습니다. 이 취약점은 A/AAAA 글루 레코드에 대해 구성된 캐시 TTL 값 최대 하나만큼 ghost domain 창(window)을 확장할 수 있습니다. 다른 'ghost domain names' 공격과 마찬가지로, 적대적 행위자는 (ghost) 존(zone)을 제어하고 취약한 Unbound를 쿼리할 수 있어야 합니다. 단일 클라이언트 A/AAAA 쿼리는 만료된 상위 글루 RRset을 덮어쓰게 하여 결과적으로 구성된 캐시 TTL 값('cache-max-ttl') 최대 하나만큼 ghost domain 창을 확장합니다. 'harden-referral-path: yes'가 사용되는 구성(기본값이 아님)에서는 Unbound가 해당 쿼리를 암묵적으로 수행하므로 클라이언트 쿼리가 필요하지 않습니다. 이는 NS 쿼리만 다뤘던 CVE-2026-40622의 변형입니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.