CVE-2026-82309 in Robots::Validate
요약
\~에 의해 VulDB • 2026. 09. 04.
Perl용 Robots::Validate의 0.3.2부터 0.3.11 미만 버전은 포워드 확인 루프를 통해 검증 시 제한 없는 외부 DNS 쿼리를 허용합니다. 이 루프는 조회하는 도메인 이름에 상한을 두지 않습니다.
_check_dns 함수는 클라이언트 주소에 대해 하나의 PTR 쿼리를 수행하며, 반환된 이름 중 규칙의 도메인과 일치하는 것들을 유지하고 해당 주소로 다시 해결되는 것이 발견될 때까지 각 이름에 대한 포워드 쿼리를 실행합니다. 이 목록에는 제한이 없으며, 클라이언트는 자신의 주소에 해당하는 역존(zone)을 제어할 수 있으므로 PTR 응답에 포함된 이름의 개수를 선택할 수 있습니다. Net::DNS는 기본적으로 잘린 응답을 TCP를 통해 다시 가져오므로, 512바이트 UDP 페이로드도 이를 제한하지 않습니다.
User-Agent가 도메인을 포함하는 규칙과 일치하는 모든 클라이언트는 _check_dns로 전달됩니다. 각 포워드 이름은 고유하며 클라이언트가 선택하므로, 모든 쿼리는 로컬 캐시를 우회하여 해당 도메인의 권위 있는 서버에 대해 해결됩니다. 쿼리는 동기식으로 처리되므로 호출자는 모든 응답이 도착하거나 시간 초과가 발생할 때까지 대기하게 됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.