Kaiping Xue

A flaw in the 'serve-expired' code path allows a double decrement of the `wait-limit` counter per client IP. An attacker can exploit this by controlling an authoritative zone with short Time to Live (TTL) values to ensure cached entries expire rapidly. By alternating between slow queries (which the attacker's authoritative server never answers) and pump queries (queries for expired cached names answered via the 'serve-expired' path), the attacker can keep the per-client counter at or below the `wait-limit` indefinitely. This allows a single source IP to maintain an arbitrary number of pending queries up to the global mesh quota `num-queries-per-thread`, bypassing a counter measure designed to prevent DNSBomb attacks.

يوجد ثغرة في آلية حساب الذاكرة في تطبيق DNS-over-QUIC (DoQ) في اتجاه التدفق. عند تمكين DoQ، يتجاوز أول تيارين ثنائيي الاتجاه في اتصال QUIC جديد (stream id 0 و 4) بوابة `quic-size` الخاصة بكل تيار. يتم تخصيص مخازن مؤقتة كبيرة للمدخلات بعد استلام البادئة ذات الطول 2 بايت من هذه التيارات الأولية، مما يسمح لعميل بعيد بتجاوز حد `quic-size` المُعد بمدخلات ضئيلة. من خلال إرسال بادئة طول مُعلنة تبلغ 65535 بايت وإبقاء التدفقات مفتوحة، يمكن للعميل أن يتسبب في قيام النظام بتخصيص ما يقارب ضعف هذا المبلغ، مما يؤدي إلى رفض الخدمة لعملاء DoQ الجدد. تتطلب هذه المشكلة تجميع البرنامج مع دعم DoQ باستخدام `--with-libngtcp2` وتكوين `quic-port` لواجهات الاستماع.

يمكن لعميل بعيد غير مصدق أن ينهي عملية المحلل بالكامل باستخدام اتصال واحد عبر بروتوكول DNS-over-QUIC (DoQ) واستعلام DNS عادي واحد. يحدث هذا عندما تُرجع الدالة `ngtcp2 conn writev stream()` القيمة `NGTCP2 ERR STREAM DATA BLOCKED`، مما يؤدي إلى قيام Unbound باستدعاء الدالة `ngtcp2 ccerr set application error()` بقيمة خطأ تساوي `-1`. يتم تحويل هذه القيمة ضمناً إلى `0xFFFFFFFFFFFFFFFF`، وهو ما يتجاوز الحد الأقصى لعدد صحيح متغير الطول ذي 62 بت أثناء التسلسل في `ngtcp2 conn write connection close()`. ونتيجة لذلك، تفشل `ngtcp2 put uvarintlen()` في تقييم صحة شرط، مما يتسبب في إيقاف العملية. يمكن للمهاجم إحداث هذه الثغرة عن طريق الإعلان عن `initial max stream data bidi local = 1` في معلمات النقل وإرسال استعلام DoQ دون قراءة الدفق.