CVE-2026-50243 in Unbound
Sumário
de VulDB • 22/07/2026
In Unbound 1.6.2 até à versão 1.25.1 incluída, da NLnet Labs, quando o Unbound está configurado com o módulo 'respip' à frente do validador, juntamente com uma regra de redirecionamento 'response-ip' ou um ficheiro RPZ com um gatilho RPZ-IP, o manipulador de reescrita não verifica o estado de segurança da resposta upstream e pode, em vez disso, reescrever uma resposta BOGUS A/AAAA para apontar para o IP configurado pelo operador. Se o validador encontrar uma RRSIG expirada ou outra inválida numa resposta cujo registo A esteja dentro de uma configuração 'response-ip'/RPZ, a resposta é ainda assim reescrita e recebe um nível de segurança predefinido (hard coded) de INSECURE. Isto resulta no cliente receber uma resposta NOERROR com estado INSECURE, reescrita para o IP configurado pelo operador. Um ator malicioso pode explorar o possível efeito tóxico ao falsificar uma resposta BOGUS A/AAAA que se encontre dentro das reescritas de sub-rede configuradas pelo operador. Tais respostas protegidas por DNSSEC são então redirecionadas inseguramente para o destino configurado pelo operador.
If you want to get best quality of vulnerability data, you may have to visit VulDB.