Qifan Zhang

When NLnet Labs Unbound 1.0.1 up to and including version 1.26.1 is configured with both a root trust anchor and an additional 'trust-anchor:' for an island-of-security zone whose parent is provably insecure under the root chain, a malicious actor with a forged NSEC reply with the SOA bit cleared can trick Unbound to treat the configured trust island as insecure. This happens because the DNSSEC validator in Unbound accepts and caches the NSEC insecure response bypassing the RRSIG validation that the validator was supposed to do. The acceptance of the NSEC record at the trust anchor apex was allowed due to and old fix for type DS and NSEC queries from clients when trust anchor for that name existed.

When NLnet Labs Unbound up to and including version 1.26.1 is configured with both a root trust anchor and an additional 'trust-anchor:' for an island-of-security zone whose parent is provably insecure under the root chain, a malicious actor who can deliver one forged NXDOMAIN response for a name inside the island, with the NSEC/SOA RRSIG 'SignerName' set to the insecure parent, tricks Unbound's validator to use the root trust anchor instead, and consecutively the insecure parent, thus causing that record to be treated as insecure and denying existence for records in the trust island.

A HIP resource record that fills the RDATA near or at is limit, and has another dname RDATA field (a HIP Rendezvous server) can overwrite the stack with up to 191 bytes of attacker controlled data. Zone files which are written out by NSD itself, such as for zones for which the NSD instance is secondary, will not be formatted like this. The zone file must be fed to NSD directly, (but it could come, for example, from an operator controlled provisioning system).

When a SVCB or HTTPS RR has filled the wire format RDATA up to the brim, another ECH parameter may overwrite the stack, and once beyond the limit, the base64 decoder can write attacker controlled data of unlimited size. Zone files which are written out by NSD itself, such as for zones for which the NSD instance is secondary, will not be formatted like this. The zone file must be fed to NSD directly, (but it could come, for example, from an operator controlled provisioning system).

**اسم البرنامج المصاب والإصدارات المتأثرة** NSD الإصدارات 4.10.0 through 4.15.2 **Description** تحدث مشكلة عندما يتم تقسيم بيانات base64 إلى أجزاء مكونة من 3 أحرف أو أقل، مما يؤدي إلى حساب الرموز بشكل غير صحيح لتنتج 0 بايت. يتيح ذلك للمهاجمين الكتابة فوق المكدس (stack) بما يصل إلى 64 كيلوبايت من البيانات التي يتحكم فيها المهاجم. يمكن أن يحدث هذا عندما يتم تزويد ملف المنطقة مباشرة إلى NSD، على سبيل المثال، من نظام تزويد يتحكم فيه المشغل. تم تحديد حوالي 116.3 ألف مثيل عالميًا. **Recommendations** تحديث NSD إلى إصدار أحدث من 4.15.2.

**Name of the Vulnerable Software and Affected Versions** NLnet Labs Unbound versions 1.13.2 through 1.26.1 **Description** Zones configured with `zonemd-check: yes` that are located below a trust anchor contain a flaw where tampered zone contents may be served or stored to disk before the ZONEMD integrity check is completed. This occurs due to the asynchronous resolution of DS/DNSKEY records required for the check. If the `zonefile:` option is used to write a zonefile to disk while the ZONEMD check fails, the tampered data is reloaded upon startup and remains available until the next verification concludes. Even if verification subsequently fails, the tampered data persists on disk for future reloads. **Recommendations** Update NLnet Labs Unbound to a version later than 1.26.1. As a temporary mitigation, avoid using the `zonefile:` option for zones configured with `zonemd-check: yes` that are located below a trust anchor.

**Name of the Vulnerable Software and Affected Versions** NLnet Labs Unbound versions prior to 1.26.1 **Description** Algorithmic complexity attacks, researched as 'ReTrap', can lead to service degradation when malicious zones are used. These attacks include TagTrap, where the triple(Zone, Algo, KeyTag) matching mechanism is exploited via responses with numerous mismatched DNSKEY, RRSIG, and DS records; DelegationTrap, which causes computational overhead during the iterative validation of the chain-of-trust for deeply nested domains; NsecTrap, which forces the resolver to validate excessive invalid NSEC records; and AdditionalTrap, where the default DNSSEC validation of the ADDITIONAL section is used to waste resources. **Recommendations** Update to a version newer than 1.26.0.

**Name of the Vulnerable Software and Affected Versions** NLnetLabs Unbound versions prior to 1.27.0 **Description** A degradation of service issue exists in the TCP/DoT reading procedure due to the absence of a limit on consecutive reads. A malicious actor can monopolize a single worker's entire event loop by streaming and sustaining a rate of distinct uncached names over the TCP/DoT connection, provided their writes remain ahead of the drain. **Recommendations** Update NLnetLabs Unbound to a version newer than 1.26.0.

**Name of the Vulnerable Software and Affected Versions** NSD (affected versions not specified) **Description** On little-endian systems, the software incorrectly compares IP addresses with access control ranges. This occurs because IPv4 addresses are compared as unsigned 32-bit numbers using the host's endianness, while the comparison values remain in network byte order (big-endian). For IPv6 addresses, the process involves four separate unsigned 32-bit number comparisons, also failing to account for the difference between host endianness and network byte order. Consequently, IP addresses intended to be allowed may be denied, and those intended to be denied may be granted access. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** NSD (affected versions not specified) **Description** A remote client can cause a crash of the NSD serve child process in debugging or non-release build types. This occurs when the process receives a specially crafted message containing a specific number of DNS Cookie options, such as 17 options when the UDP payload size is 512. Repeatedly crashing these processes can severely degrade performance or lead to a complete denial of DNS service. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** The product name cannot be determined (affected versions not specified) **Description** Access control list items configured as BLOCKED to deny access on the proxy protocol port can be bypassed. This occurs when a connection is established over TCP or TLS and the query is sent twice on a connection that remains open. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** يتعذر تحديد اسم المنتج (لم يتم تحديد الإصدارات المتأثرة) **الوصف** يحدث تجاوز للتحقق من صحة DNSSEC عندما يتم قبول إثباتات توسيع أحرف البدل، وتحديدًا سجلات NSEC أو NSEC3، دون التحقق من صحة التوقيع. ويحدث هذا عندما تكون الإجابة التي تحتوي على أحرف البدل عبارة عن سجل CNAME أو DNAME. DNSSEC (امتدادات أمان نظام أسماء النطاقات) هي مجموعة من الامتدادات التي تضيف طبقة أمان إلى بروتوكول DNS من خلال تمكين التوقيع الرقمي على استجابات DNS. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** يتعذر تحديد اسم المنتج (لم يتم تحديد الإصدارات المتأثرة) **الوصف** قد تسمح توقيعات سجلات الموارد (RRSIGs) التي تحتوي على عدد غير كافٍ من العلامات بتجاوز عملية التحقق من صحة أحرف البدل في بروتوكول DNSSEC. DNSSEC هي مجموعة من الامتدادات التي تضيف طبقة أمان إلى نظام أسماء النطاقات (DNS) عن طريق إرفاق توقيعات رقمية بسجلات DNS للتحقق من صحتها. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات NLnet Labs Unbound الأقدم من 1.25.2 **الوصف** قد تتوقف التطبيقات التي تستخدم `libunbound` المُهيأة باستخدام المعلمة `unwanted-reply-threshold` بشكل مفاجئ. يحدث هذا عند بلوغ الحد الأقصى ومحاولة `libunbound` استدعاء الدالة `libworker alloc cleanup()`، التي لا توجد في قائمة الدوال المسموح باستدعائها. تنشأ المشكلة عندما يتم تعيين `unwanted-reply-threshold` على قيمة غير صفرية ويقوم المكرر (iterator) بالاستعلام عن خادم موثوق يرسل عددًا كافيًا من مخططات بيانات UDP ذات معرّفات معاملات غير صحيحة لتجاوز تلك العتبة، مما يؤدي إلى خروج `libunbound` بشكل فادح وإنهاء التطبيق المدمج. **التوصيات** قم بالتحديث إلى الإصدار 1.25.2 أو أحدث. كحل مؤقت، اضبط المعلمة `unwanted-reply-threshold` على الصفر.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات NLnet Labs Unbound من 1.13.2 إلى 1.25.1 **الوصف** يوجد خطأ «off-by-one» في منطق `harden-below-nxdomain`، وهو ميزة مُفعَّلة افتراضيًّا. تحدث هذه المشكلة عندما تقع مناطق «stub» أو «forward» أسفل تسمية وسيطة تقع هي نفسها أسفل منطقة موقعة بواسطة DNSSEC. تقوم ميزة `harden-below-nxdomain` بإجراء مسح تصاعدي لذاكرة التخزين المؤقتة لنظام أسماء النطاقات (DNS) باستخدام حارس نقطة التفويض بهدف منع توليف NXDOMAIN فوق مناطق stub أو مناطق إعادة التوجيه. ومع ذلك، نظرًا لأن الحارس يختبر اسم النطاق قبل إزالة التسمية، فإنه يسمح بتكرار حيث يتطابق اسم النطاق مع قمة منطقة stub أو منطقة إعادة التوجيه المُعدة. ثم تقوم العملية بإزالة تسمية أخرى وتستكشف ذاكرة التخزين المؤقتة للوالد العام المباشر للقمة. إذا كان لدى ذلك الأصل NXDOMAIN مؤمن بـ DNSSEC مخزّن في ذاكرة التخزين المؤقت، فإن عملية المسح تعيده، مما يؤدي إلى تجاوز المنطقة الفرعية أو منطقة إعادة التوجيه المُعدة مسبقًا وعدم الاتصال بها مطلقًا. يتم تشغيل هذا السلوك من خلال استعلام عن التسمية الوسيطة بين قمة المنطقة الفرعية أو منطقة إعادة التوجيه والمنطقة الأصلية لـ DNSSEC. **التوصيات** قم بتحديث NLnet Labs Unbound إلى إصدار أحدث من 1.25.1. كإجراء تخفيفي مؤقت، ضع في اعتبارك تعطيل منطق `harden-below-nxdomain`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات NLnet Labs Unbound من 1.22.0 إلى 1.25.1 **الوصف** لا يتم معالجة استعلامات DNS-over-QUIC (DoQ) التي ينهيها العميل بشكل صحيح، مما يؤدي إلى تضخم عدد الردود المعلقة لاستعلامات التحليل الجارية. وهذا يتسبب في تدهور خدمات التحليل للعملاء الجدد. يمكن للمهاجم استغلال هذه الثغرة عن طريق إرسال استعلامات DoQ وإنهائها فورًا باستخدام إطارات QUIC من نوع STOP SENDING أو RESET STREAM أو CONNECTION CLOSE. وبمجرد الوصول إلى الحد الأقصى، يتم تجاهل الاستعلامات الجديدة الخاصة بعمليات التحليل الجارية دون إشعار. تتطلب هذه المشكلة تجميع البرنامج مع دعم DoQ عبر `--with-libngtcp2` وتكوين `quic-port`. بالإضافة إلى ذلك، يجب على المهاجم استخدام عناوين IP مصدر متعددة لتجاوز خيار `wait-limit`. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** NLnet Labs Unbound، الإصدارات من 1.16.2 إلى 1.25.1 **الوصف** توجد مشكلة ضمن مجموعة هجمات أسماء النطاقات الوهمية (ghost domain names)، حيث يمكن للمهاجم الذي يتحكم في منطقة وهمية (ghost zone) تمديد نافذة النطاق الوهمي لسجلات الربط A/AAAA. من خلال إرسال استعلام A/AAAA واحد من العميل، يمكن للمهاجم أن يجعل النظام يقوم بالكتابة فوق مجموعة سجلات الربط (rrset) المخزنة مؤقتًا والمنتهية الصلاحية من جانب الأصل، مما يؤدي إلى تمديد النافذة بما يصل إلى قيمة TTL المخزنة مؤقتًا المحددة، وتحديدًا المتغير `cache-max-ttl`. في التكوينات التي يتم فيها تمكين `harden-referral-path: yes`، يمكن تشغيل هذه المشكلة دون الحاجة إلى استعلام من العميل، حيث يقوم النظام بإجراء الاستعلام ضمناً. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات NLnet Labs Unbound من 1.7.0 إلى 1.25.1 **الوصف** يؤدي عدم كفاية التحقق من صحة حقل `RRSIG.Labels` وعمليات الكتابة المبكرة في ذاكرة التخزين المؤقت أثناء المعالجة «العدوانية» لـ NSEC وفقًا لمعيار RFC 8198 إلى إتاحة إمكانية تسميم ذاكرة التخزين المؤقت. يمكن للمهاجم الذي يتحكم في منطقة مفوضة واحدة ضمن نطاق أبوي موقّع بـ NSEC أن يلوث مناطق شقيقة عشوائية. باستخدام سجلات DS بديلة مزيفة تحتوي على عدد أقل من العلامات المتوقعة أو خوارزمية غير معروفة، يمكن للمهاجم إنشاء وجود غير آمن لتفويضات غير موجودة مشمولة بسلسلة NSEC للنطاق الأبوي، مما يسمح بحقن سجلات بديلة غير آمنة لتلك التفويضات. **التوصيات** تحديث NLnet Labs Unbound إلى إصدار أحدث من 1.25.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات NLnet Labs Unbound الأقدم من 1.25.2 **الوصف** عندما يتم تمكين المعلمة `unwanted-reply-threshold` وتعيينها على قيمة أكبر من الصفر، يصبح البرنامج عرضة لهجوم مسح ذاكرة التخزين المؤقت. يمكن للمهاجم الخبيث الذي يتحكم في تفويض يعيد سجلات ربط داخل نطاق الولاية (in-bailiwick glue records) لـ 0.0.0.0/::0 أن يُحفز مسحًا دفاعيًا لذاكرة التخزين المؤقت للرسالة وذاكرات التخزين المؤقتة لـ rrset. يحدث هذا لأن النظام قد يوجه حركة المرور لـ 0.0.0.0/::0 عبر الارتداد (loopback)، مما يتسبب في قيام المستمع بالرد من العنوان 127.0.0.1. يؤدي عدم تطابق عنوان IP المصدر 0.0.0.0 مع عنوان IP الرد 127.0.0.1 إلى قيام البرنامج بتصنيف الرد على أنه غير مرغوب فيه. ومن خلال تكرار إثارة هذا السلوك، يمكن للمهاجم إجبار عداد `unwanted-reply-threshold` على الوصول إلى حده الأقصى، مما يؤدي إلى مسح ذاكرة التخزين المؤقت إلى أجل غير مسمى دون الحاجة إلى إرسال حزم مزيفة. **التوصيات** قم بالتحديث إلى الإصدار 1.25.2 أو أحدث. كإجراء تخفيفي مؤقت، اضبط `unwanted-reply-threshold` على الصفر لتعطيل الوظيفة المتأثرة.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات NLnet Labs Unbound من 1.22.0 إلى 1.25.1 **الوصف** يوجد ثغرة في آلية حساب الذاكرة في تطبيق DNS-over-QUIC (DoQ) في اتجاه التدفق. عند تمكين DoQ، يتجاوز أول تيارين ثنائيي الاتجاه في اتصال QUIC جديد (stream id 0 و 4) بوابة `quic-size` الخاصة بكل تيار. يتم تخصيص مخازن مؤقتة كبيرة للمدخلات بعد استلام البادئة ذات الطول 2 بايت من هذه التيارات الأولية، مما يسمح لعميل بعيد بتجاوز حد `quic-size` المُعد بمدخلات ضئيلة. من خلال إرسال بادئة طول مُعلنة تبلغ 65535 بايت وإبقاء التدفقات مفتوحة، يمكن للعميل أن يتسبب في قيام النظام بتخصيص ما يقارب ضعف هذا المبلغ، مما يؤدي إلى رفض الخدمة لعملاء DoQ الجدد. تتطلب هذه المشكلة تجميع البرنامج مع دعم DoQ باستخدام `--with-libngtcp2` وتكوين `quic-port` لواجهات الاستماع. **التوصيات** قم بتحديث NLnet Labs Unbound إلى إصدار أحدث من 1.25.1. كإجراء تخفيفي مؤقت، قم بتعطيل تكوين `quic-port` على واجهات الاستماع أو تجنب استخدام تطبيق DoQ إذا تم تجميعه باستخدام `--with-libngtcp2`.