CVE-2026-42955 in Unbound
Сводка
по VulDB • 22.07.2026
В NLnet Labs Unbound в версиях от 1.16.2 до 1.25.1 включительно обнаружена уязвимость, аналогичная CVE-2026-40622 из семейства атак «ghost domain names» (призрачные имена доменов), которая позволяет расширить окно действия призрачного домена на величину, равную одному кэшированному значению TTL для A/AAAA склеивающих записей. Как и в других атаках типа «ghost domain names», злоумышленник должен контролировать (призрачную) зону и иметь возможность выполнять запросы к уязвимому экземпляру Unbound. Один клиентский запрос на разрешение имени A/AAAA может привести к тому, что Unbound перезапишет истекшую склеивающую rrset родительской стороны в кэше, тем самым фактически расширив окно действия призрачного домена на величину одного кэшированного значения TTL («cache-max-ttl»). В конфигурациях с параметром «harden-referral-path: yes» (не используется по умолчанию) клиентский запрос не требуется, поскольку Unbound выполняет его неявно. Это вариант CVE-2026-40622, который ранее затрагивал только NS-запросы.
If you want to get best quality of vulnerability data, you may have to visit VulDB.