CVE-2026-44687

إصدارات NLnet Labs Unbound من 1.13.2 إلى 1.25.1

يوجد خطأ «off-by-one» في منطق harden-below-nxdomain، وهو ميزة مُفعَّلة افتراضيًّا. تحدث هذه المشكلة عندما تقع مناطق «stub» أو «forward» أسفل تسمية وسيطة تقع هي نفسها أسفل منطقة موقعة بواسطة DNSSEC. تقوم ميزة harden-below-nxdomain بإجراء مسح تصاعدي لذاكرة التخزين المؤقتة لنظام أسماء النطاقات (DNS) باستخدام حارس نقطة التفويض بهدف منع توليف NXDOMAIN فوق مناطق stub أو مناطق إعادة التوجيه. ومع ذلك، نظرًا لأن الحارس يختبر اسم النطاق قبل إزالة التسمية، فإنه يسمح بتكرار حيث يتطابق اسم النطاق مع قمة منطقة stub أو منطقة إعادة التوجيه المُعدة. ثم تقوم العملية بإزالة تسمية أخرى وتستكشف ذاكرة التخزين المؤقتة للوالد العام المباشر للقمة. إذا كان لدى ذلك الأصل NXDOMAIN مؤمن بـ DNSSEC مخزّن في ذاكرة التخزين المؤقت، فإن عملية المسح تعيده، مما يؤدي إلى تجاوز المنطقة الفرعية أو منطقة إعادة التوجيه المُعدة مسبقًا وعدم الاتصال بها مطلقًا. يتم تشغيل هذا السلوك من خلال استعلام عن التسمية الوسيطة بين قمة المنطقة الفرعية أو منطقة إعادة التوجيه والمنطقة الأصلية لـ DNSSEC.

قم بتحديث NLnet Labs Unbound إلى إصدار أحدث من 1.25.1.

كإجراء تخفيفي مؤقت، ضع في اعتبارك تعطيل منطق harden-below-nxdomain.