Kaihua Wang

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.22.0 through 1.25.1 **Description** Em ambientes DNS-over-QUIC (DoQ), alta concorrência e pressão no sistema podem disparar uma asserção na biblioteca `libngtcp2` relativa a timestamps monotônicos. Isso ocorre porque o Unbound utiliza tempo real em vez do tempo monotônico esperado ao interagir com a `libngtcp2`, resultando no encerramento do servidor e em uma negação de serviço. Este problema requer que o Unbound seja compilado com suporte a DoQ usando a flag `--with-libngtcp2` e que a `quic-port` esteja configurada para as interfaces de escuta. **Recommendations** Para as versões 1.22.0 through 1.25.1, atualize o software para uma versão onde este problema tenha sido resolvido. Como mitigação temporária, evite configurar a `quic-port` para as interfaces de escuta ou desative o suporte a DNS-over-QUIC.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.22.0 through 1.25.1 **Description** Existe uma falha de bypass de contabilização de memória na implementação de DNS-over-QUIC (DoQ) downstream. Quando o DoQ está habilitado, os dois primeiros fluxos bidirecionais em uma nova conexão QUIC (stream id 0 e 4) ignoram completamente o limite `quic-size` por fluxo. Buffers de entrada grandes são alocados após o prefixo de comprimento de 2 bytes ser recebido desses fluxos iniciais, permitindo que um cliente remoto exceda o limite `quic-size` configurado com baixo custo de entrada. Ao enviar um prefixo de comprimento declarado de 65535 bytes e manter os fluxos abertos, um cliente pode fazer com que o sistema aloque aproximadamente o dobro desse valor, resultando em negação de serviço para novos clientes DoQ. Este problema requer que o software seja compilado com suporte a DoQ usando `--with-libngtcp2` e que a `quic-port` esteja configurada para as interfaces de escuta. **Recommendations** Atualize o NLnet Labs Unbound para uma versão posterior à 1.25.1. Como mitigação temporária, desative a configuração de `quic-port` nas interfaces de escuta ou evite usar a implementação DoQ se compilada com `--with-libngtcp2`.