CVE-2026-50243 in Unbound
요약
\~에 의해 VulDB • 2026. 07. 22.
NLnet Labs Unbound 1.6.2부터 1.25.1(포함)까지의 버전에서, Unbound가 validator 앞에 'respip' 모듈과 함께 구성되고 'response-ip' 리디렉션 규칙 또는 RPZ-IP 트리거를 포함하는 RPZ 파일이 사용되는 경우, 재작성 핸들러는 상위(upstream) 응답의 보안 상태를 확인하지 않고 BOGUS A/AAAA 응답을 운영자가 설정한 IP로 재작성할 수 있습니다. validator가 A 레코드가 'response-ip'/RPZ 구성 내에 있는 응답에서 만료되었거나 기타 무효한 RRSIG를 발견하면, 해당 응답은 여전히 재작성되어 INSECURE라는 하드 코딩된 보안 수준이 부여됩니다. 이로 인해 클라이언트는 운영자가 설정한 IP로 재작성된 INSECURE NOERROR 응답을 받게 됩니다. 악의적인 행위자는 운영자의 설정된 서브넷 내 리디렉션 범위 내에 있는 BOGUS A/AAAA 응답을 스푸핑하여 잠재적 독성(poisonous) 효과를 악용할 수 있습니다. 이렇게 DNSSEC 보호를 받는 응답들은 보안상 취약한 상태로 운영자가 지정한 대상으로 리디렉트됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.