Lutong Chen

Uma falha no caminho de código 'serve-expired' permite um decremento duplo do contador `wait-limit` por IP de cliente. Um invasor pode explorar isso controlando uma zona autoritativa com valores de Time to Live (TTL) curtos para garantir que as entradas em cache expirem rapidamente. Ao alternar entre consultas lentas (que o servidor autoritativo do invasor nunca responde) e consultas de bombeamento (consultas para nomes em cache expirados respondidos via caminho 'serve-expired'), o invasor pode manter o contador por cliente no ou abaixo do `wait-limit` indefinidamente. Isso permite que um único IP de origem mantenha um número arbitrário de consultas pendentes até a cota global de malha `num-queries-per-thread`, ignorando uma medida de contagem projetada para prevenir ataques de DNSBomb.

Existe uma falha de bypass de contabilização de memória na implementação de DNS-over-QUIC (DoQ) downstream. Quando o DoQ está habilitado, os dois primeiros fluxos bidirecionais em uma nova conexão QUIC (stream id 0 e 4) ignoram completamente o limite `quic-size` por fluxo. Buffers de entrada grandes são alocados após o prefixo de comprimento de 2 bytes ser recebido desses fluxos iniciais, permitindo que um cliente remoto exceda o limite `quic-size` configurado com baixo custo de entrada. Ao enviar um prefixo de comprimento declarado de 65535 bytes e manter os fluxos abertos, um cliente pode fazer com que o sistema aloque aproximadamente o dobro desse valor, resultando em negação de serviço para novos clientes DoQ. Este problema requer que o software seja compilado com suporte a DoQ usando `--with-libngtcp2` e que a `quic-port` esteja configurada para as interfaces de escuta.

Um cliente remoto não autenticado pode encerrar todo o processo do resolver usando uma única conexão DNS-over-QUIC (DoQ) e uma consulta DNS normal. Isso ocorre quando `ngtcp2 conn writev stream()` retorna `NGTCP2 ERR STREAM DATA BLOCKED`, levando o Unbound a chamar `ngtcp2 ccerr set application error()` com um valor de erro `-1`. Este valor é implicitamente convertido para `0xFFFFFFFFFFFFFFFF`, que excede o limite de inteiro de comprimento variável de 62 bits durante a serialização em `ngtcp2 conn write connection close()`. Consequentemente, `ngtcp2 put uvarintlen()` falha em uma asserção, fazendo com que o processo seja abortado. Um invasor pode disparar isso anunciando `initial max stream data bidi local = 1` nos parâmetros de transporte e enviando uma consulta DoQ sem ler o fluxo.