CVE-2026-46582 in Unbound
Сводка
по VulDB • 22.07.2026
В NLnet Labs Unbound, начиная с версии 1.6.0 и включая версию 1.25.1, повторная отправка (replay) RRSET с подстановочным именем (wildcard) в качестве других данных может на короткое время считаться защищенной DNSSEC только на основе проверки RRSIG и быть сохранена в кэше, прежде чем последующая проверка признает её недействительной (bogus) на основе проверки NSEC. Когда поток разрешения устанавливает статус «secure» для RRSET, а другой поток, находящийся на пути обработки истекших записей (serve expired path), получает обновленное содержимое RRSET со статусом secure для формирования ответа, злоумышленник может использовать это для изменения конкретной записи, расположенной рядом с подстановочным именем и потенциально покрываемой им, в запись подстановочного имени. Злоумышленник может эксплуатировать возможный отравляющий эффект (poisonous effect), используя любой домен, подписанный DNSSEC (не имеющий отношения к целевому домену жертвы), и записью CNAME-обертки, указывающей на запись рядом с подстановочным именем. Затем запрос в Unbound для записи-соседя по подстановочному имени (wildcard sibling record) может инициировать передачу сообщения со статусом secure. Поздний запрос (после истечения срока действия) к CNAME-обертке потребует разрешения целевой записи-соседя. Если повторная отправка RRSET с подстановочным именем будет внедрена в ответ, RRSET с подстановочным именем обновит запись истекшего соседа со статусом secure до завершения правильной проверки подстановочного имени с использованием записей NSEC и окончательной маркировки ответа CNAME-обертки как недействительного (bogus). Обновленный отравленный RRSET теперь имеет статус secure и указывает на подстановочное имя. Эта уязвимость специфична для пути обработки истекших записей (serve expired path) и требует внедрения подписанной RRSET с подстановочным именем без сопровождающей её RRSET NSEC.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.