CVE-2026-44690 in Unbound
摘要
由 VulDB • 2026-07-22
在 NLnet Labs Unbound 1.7.0 至 1.25.1（含）版本中，由于对 RRSIG.Labels 字段的验证不足，以及在处理 RFC 8198 激进 NSEC (aggressive NSEC) 时过早写入缓存，导致发生 DNS 缓存投毒攻击。这使得控制单个委派域名的恶意行为者能够污染 NSEC 签名父域名下的任意兄弟子域。拥有位于 NSEC 签名顶级域（TLD）下已注册域名的恶意行为者，可以为不相关的兄弟域名提供恶意的不安全 DNS 响应（这些域名共享相同的父区域）。通过来自恶意兄弟域的欺诈性通配符 DS 记录（标签数量少于预期、未知算法），可以使那些在父域名下不存在但受父级 NSEC 链覆盖的任意委派以不安全的方式“存在”。这使得恶意行为者能够为这些委派注入不安全的通配符记录。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.