CVE-2026-42955 in Unbound
Sumário
de VulDB • 22/07/2026
No NLnet Labs Unbound 1.16.2 até à versão 1.25.1, foi encontrada uma vulnerabilidade semelhante à do CVE-2026-40622 na família de ataques 'nomes de domínio fantasma' (ghost domain names) no Unbound, que poderia prolongar a janela dos nomes de domínio fantasma em até um valor configurado de TTL armazenado em cache para registos glue A/AAAA. Tal como noutros ataques da família 'nomes de domínio fantasma', o adversário precisa de controlar uma zona (fantasma) e ser capaz de efetuar consultas ao Unbound vulnerável. Uma única consulta A/AAAA por parte do cliente pode fazer com que o Unbound sobrescreva a rrset glue expirada armazenada em cache no lado do pai, prolongando essencialmente a janela dos nomes de domínio fantasma em até um valor configurado de TTL armazenado em cache ('cache-max-ttl'). Em configurações onde 'harden-referral-path: yes' está ativado (configuração não predefinida), nenhuma consulta por parte do cliente é necessária, uma vez que o Unbound executa essa consulta implicitamente. Esta é uma variante do CVE-2026-40622, que abordava apenas a consulta NS.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.