Qifan Zhang

**Nome do Software Vulnerável e Versões Afetadas** NSD (versões afetadas não especificadas) **Descrição** Em sistemas little-endian, o software compara incorretamente endereços IP com intervalos de controle de acesso. Isso ocorre porque os endereços IPv4 são comparados como números de 32 bits sem sinal usando a endianness do host, enquanto os valores de comparação permanecem na ordem de bytes da rede (big-endian). Para endereços IPv6, o processo envolve quatro comparações separadas de números de 32 bits sem sinal, também falhando em considerar a diferença entre a endianness do host e a ordem de bytes da rede. Consequentemente, endereços IP que deveriam ser permitidos podem ser negados, e aqueles que deveriam ter o acesso negado podem ser permitidos. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** NSD (versões afetadas não especificadas) **Descrição** Um cliente remoto pode causar a falha do processo serve child do NSD em tipos de compilação de depuração (debugging) ou não-lançamento (non-release). Isso ocorre quando o processo recebe uma mensagem especialmente elaborada contendo um número específico de opções de DNS Cookie, como 17 opções quando o tamanho do payload UDP é 512. A interrupção contínua desses processos pode prejudicar gravemente o desempenho ou levar a uma negação completa do serviço de DNS. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado (versões afetadas não especificadas) **Descrição** Itens da lista de controle de acesso configurados como BLOCKED para negar o acesso na porta do protocolo proxy podem ser completamente ignorados. Isso ocorre quando uma conexão é estabelecida via TCP ou TLS e a consulta é enviada duas vezes em uma conexão que permanece aberta. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado (versões afetadas não especificadas) **Descrição** Assinaturas de Registro de Recurso (RRSIGs) com um número insuficiente de rótulos podem permitir a evasão da validação de curinga (wildcard) do DNSSEC. O DNSSEC é um conjunto de extensões que adiciona uma camada de segurança ao Sistema de Nomes de Domínio (DNS), anexando assinaturas digitais aos registros DNS para verificar sua autenticidade. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado (versões afetadas não especificadas) **Descrição** Ocorre uma falha de validação do DNSSEC quando provas de expansão de curinga (wildcard), especificamente registros NSEC ou NSEC3, são aceitas sem a validação da assinatura. Isso acontece quando a resposta do curinga é um registro CNAME ou DNAME. DNSSEC (Domain Name System Security Extensions) é um conjunto de extensões que adiciona uma camada de segurança ao protocolo DNS, permitindo que as respostas DNS sejam assinadas digitalmente. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.7.0 through 1.25.1 **Description** Quando a cláusula `dnscrypt:` contém mais arquivos `dnscrypt-provider-cert:` do que arquivos `dnscrypt-secret-key:` correspondentes, o software não inicializa corretamente todos os slots, deixando alguns preenchidos com bytes `0xdb` do alocador libsodium. Como o sistema itera com base no número de arquivos de certificado em vez dos slots efetivamente inicializados, ele pode acessar essas entradas incorretas. Um cliente não autenticado pode causar a queda do servidor enviando um datagrama UDP de 68 bytes ou mais para a `dnscrypt-port` onde os primeiros 8 bytes sejam `0xdb`, resultando em um desreferenciamento de lixo (garbage dereference). Este problema ocorre quando o software é compilado com suporte a DNSCrypt usando a flag `--enable-dnscrypt`. **Recommendations** Atualize o NLnet Labs Unbound para uma versão posterior à 1.25.1. Garanta que o número de arquivos `dnscrypt-provider-cert:` não exceda o número de arquivos `dnscrypt-secret-key:` na cláusula de configuração `dnscrypt:`.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.10.0 through 1.25.1 **Description** Um cliente remoto que controla um domínio delegado pode causar a falha do daemon, resultando em uma negação de serviço. Isso ocorre quando a configuração `serve-expired: yes` está ativada juntamente com uma regra `response-ip: <net> redirect` ou `response-ip-data: <net> CNAME <target>`, ou o equivalente `rpz-cname-override`. O problema origina-se na função `serve-expired-client-timeout()`, que executa um loop de duas passagens para seguir um alias CNAME gerado pelo response-ip. Durante a segunda passagem, a função redefine a variável `alias rrset`, mas não redefine `partial rep`, resultando em um desreferenciamento de ponteiro NULL. Um invasor pode disparar isso controlando uma zona que retorna um registro A/AAAA dentro da sub-rede response-ip/rpz configurada e atrasando a resposta após a expiração do registro anterior. **Recommendations** Atualize o NLnet Labs Unbound para uma versão posterior à 1.25.1. Como mitigação temporária, desative a configuração `serve-expired: yes` ou restrinja o uso de regras `response-ip` e `rpz-cname-override`.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.22.0 through 1.25.1 **Description** Um cliente remoto não autenticado pode encerrar todo o processo do resolver usando uma única conexão DNS-over-QUIC (DoQ) e uma consulta DNS normal. Isso ocorre quando `ngtcp2 conn writev stream()` retorna `NGTCP2 ERR STREAM DATA BLOCKED`, levando o Unbound a chamar `ngtcp2 ccerr set application error()` com um valor de erro `-1`. Este valor é implicitamente convertido para `0xFFFFFFFFFFFFFFFF`, que excede o limite de inteiro de comprimento variável de 62 bits durante a serialização em `ngtcp2 conn write connection close()`. Consequentemente, `ngtcp2 put uvarintlen()` falha em uma asserção, fazendo com que o processo seja abortado. Um invasor pode disparar isso anunciando `initial max stream data bidi local = 1` nos parâmetros de transporte e enviando uma consulta DoQ sem ler o fluxo. **Recommendations** Atualize o NLnet Labs Unbound para uma versão posterior à 1.25.1.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.6.0 até 1.25.1 **Descrição** Existe uma falha onde a repetição de um rrset (Resource Record Set) de curinga pode ser brevemente marcada como DNSSEC segura com base apenas na validação RRSIG (Resource Record Signature) e armazenada no cache antes que a validação NSEC (Next Secure) a identifique como falsa. Isso ocorre quando uma thread de resolução marca um rrset como seguro e outra thread no caminho de atendimento expirado recupera esses conteúdos atualizados para uma resposta. Um invasor pode explorar isso para alterar um registro específico adjacente a um curinga para esse curinga. Isso é feito usando um domínio assinado por DNSSEC e um registro de wrapper CNAME que aponta para um registro próximo a um curinga. Ao consultar o registro irmão do curinga e, posteriormente, injetar uma repetição de curinga em uma resposta para o wrapper CNAME após a expiração, o rrset envenenado é marcado como seguro e aponta para o curinga. Este problema afeta especificamente o caminho de atendimento expirado e requer a injeção de um rrset de curinga assinado sem o rrset NSEC acompanhante. **Recomendações** Atualize o NLnet Labs Unbound para uma versão posterior à 1.25.1.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.7.0 through 1.25.1 **Description** A validação insuficiente do campo `RRSIG.Labels` combinada com gravações prematuras no cache durante o processamento agressivo de NSEC da RFC 8198 permite o envenenamento de cache. Um invasor que controle uma única zona delegada sob domínios pais assinados com NSEC pode envenenar zonas irmãs arbitrárias. Ao utilizar registros DS wildcard fraudulentos com menos labels do que o esperado ou um algoritmo desconhecido, o invasor pode criar a existência insegura de delegações inexistentes cobertas pela cadeia NSEC do pai, permitindo a injeção de registros wildcard inseguros para essas delegações. **Recommendations** Atualize o NLnet Labs Unbound para uma versão posterior à 1.25.1.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.6.2 through 1.25.1 **Description** Quando configurado com o módulo `respip` antes do validador, juntamente com uma regra de redirecionamento `response-ip` ou um arquivo RPZ com um gatilho RPZ-IP, o manipulador de reescrita não verifica o status de segurança da resposta upstream. Isso permite que o sistema reescreva uma resposta A/AAAA BOGUS para um IP configurado pelo operador. Se o validador detectar um RRSIG (Resource Record Signature) expirado ou inválido em uma resposta dentro de uma configuração `response-ip` ou RPZ, a resposta é reescrita e recebe um nível de segurança fixo de INSECURE. Consequentemente, os clientes recebem uma resposta INSECURE NOERROR. Um invasor pode explorar isso simulando uma resposta A/AAAA BOGUS que esteja dentro das reescritas de sub-rede configuradas, fazendo com que respostas protegidas por DNSSEC sejam redirecionadas de forma insegura para o alvo do operador. **Recommendations** Atualize o NLnet Labs Unbound para uma versão posterior à 1.25.1. Como mitigação temporária, restrinja o uso do módulo `respip` ou evite o uso de regras de redirecionamento `response-ip` e gatilhos RPZ-IP até que o software seja atualizado.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões anteriores a 1.25.2 **Descrição** Quando o `unwanted-reply-threshold` está habilitado e configurado com um valor maior que zero, o software está suscetível a um ataque de limpeza de cache. Um agente mal-intencionado que controle uma delegação que retorne registros glue in-bailiwick de 0.0.0.0/::0 pode disparar uma limpeza defensiva dos caches de mensagens e rrset. Isso ocorre porque o sistema pode rotear o tráfego para 0.0.0.0/::0 via loopback, fazendo com que o listener responda a partir de 127.0.0.1. A divergência entre o IP de origem 0.0.0.0 e o IP de resposta 127.0.0.1 leva o software a classificar a resposta como indesejada. Ao repetir esse comportamento, um invasor pode forçar o contador do `unwanted-reply-threshold` ao seu limite, limpando o cache indefinidamente sem a necessidade de enviar pacotes forjados. **Recomendações** Atualize para a versão 1.25.2 ou posterior. Como medida de mitigação temporária, defina o `unwanted-reply-threshold` como zero para desativar a funcionalidade afetada.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.7.0 through 1.25.1 **Description** Existe um problema onde uma zona auth/rpz com um hostname primário configurado que resolve para registros A/AAAA BOGUS ainda é tratada como um endpoint XFR potencial. XFR (Zone Transfer) é um mecanismo usado para replicar dados de zona DNS de um servidor primário para um servidor secundário. Um ator malicioso capaz de falsificar o registro A/AAAA do hostname, sem a necessidade de um RRSIG válido, pode assumir a função de primário XFR da zona e substituir a zona inteira ou a política de resposta completa do resolver. **Recommendations** Atualize o NLnet Labs Unbound para uma versão posterior à 1.25.1.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.23.0 through 1.25.1 **Description** Quando a configuração `dns-error-reporting: yes` está ativada, o software processa incorretamente a opção EDNS Report-Channel (código 18) de respostas upstream. Especificamente, ele utiliza o comprimento da opção como o comprimento do domínio do agente, mas não utiliza o comprimento retornado durante as verificações de nome de domínio. Se o domínio do agente for seguido por dados irrelevantes (garbage), esses bytes são anexados ao nome da consulta de relatório sintética ` er.`. Durante a execução da função `find closest of type()`, o software remove os rótulos usando o comprimento do nome da consulta em vez de parar na raiz incorporada. Isso faz com que o processo avance um byte além da raiz e passe o primeiro byte irrelevante para a função `dname query hash()` como um comprimento de rótulo, resultando em um estouro de buffer de pilha na variável `labuf`. Um invasor que controle uma zona delegada pode disparar isso enviando uma resposta upstream especialmente manipulada, o que é suficiente para encerrar o daemon. **Recommendations** Atualize o NLnet Labs Unbound para uma versão posterior à 1.25.1. Como medida de mitigação temporária, defina `dns-error-reporting` como `no` para desativar a funcionalidade afetada.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.15.0 through 1.25.1 **Description** Um problema de use-after-free existe no processamento de consultas encaminhadas via DNS-over-TLS (DoT). O nome do servidor TLS está vinculado ao tempo de vida da struct `serviced query`, mas também é referenciado pela struct `waiting tcp`. Se a struct `serviced query` for removida da malha enquanto o fluxo TCP DoT ainda estiver em fase de handshake, o armazenamento da string referenciada é liberado. Um erro subsequente no fluxo TLS leva a uma desreferência de leitura do ponteiro liberado, causando a falha do daemon e resultando em negação de serviço. Isso pode ser explorado por um agente malicioso que realize consultas de registros em uma zona específica enquanto coloca o sistema sob pressão para acionar a lógica de jostle. Isso requer a existência de uma zona stub ou forward configurada para DoT com um sufixo `#authname` na identificação do servidor, além de uma falha transitória de conectividade com o servidor. **Recommendations** Atualize o NLnet Labs Unbound para uma versão posterior à 1.25.1.

**Nome do Software Vulnerável e Versões Afetadas** Unbound versões 1.9.0 through 1.25.1 **Description** Ocorre um estouro de buffer baseado em heap quando uma consulta DNSCrypt é recebida via TCP. A rotina responsável por criptografar a resposta no local não limita o comprimento da resposta em relação ao tamanho do buffer de destino, falhando em aplicar a trava de tamanho utilizada no caminho UDP. Consequentemente, uma resposta superior a 65504 bytes é deslocada 48 bytes para frente dentro de um buffer com capacidade `msg-buffer-size`, resultando em uma gravação além do final da alocação do heap. Isso pode ser desencadeado por uma única consulta criptografada maliciosa, fazendo com que o resolver trave e levando a uma negação de serviço. Este problema requer que o software seja compilado com suporte ao DNSCrypt via `--enable-dnscrypt` e que a cláusula `dnscrypt:` esteja configurada e habilitada para as interfaces de escuta. **Recommendations** Atualize o Unbound para uma versão posterior à 1.25.1. Como mitigação temporária, desative a cláusula `dnscrypt:` nas interfaces de escuta ou evite compilar o software com a opção `--enable-dnscrypt`.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.22.0 through 1.25.1 **Description** Existe uma falha de bypass de contabilização de memória na implementação de DNS-over-QUIC (DoQ) downstream. Quando o DoQ está habilitado, os dois primeiros fluxos bidirecionais em uma nova conexão QUIC (stream id 0 e 4) ignoram completamente o limite `quic-size` por fluxo. Buffers de entrada grandes são alocados após o prefixo de comprimento de 2 bytes ser recebido desses fluxos iniciais, permitindo que um cliente remoto exceda o limite `quic-size` configurado com baixo custo de entrada. Ao enviar um prefixo de comprimento declarado de 65535 bytes e manter os fluxos abertos, um cliente pode fazer com que o sistema aloque aproximadamente o dobro desse valor, resultando em negação de serviço para novos clientes DoQ. Este problema requer que o software seja compilado com suporte a DoQ usando `--with-libngtcp2` e que a `quic-port` esteja configurada para as interfaces de escuta. **Recommendations** Atualize o NLnet Labs Unbound para uma versão posterior à 1.25.1. Como mitigação temporária, desative a configuração de `quic-port` nas interfaces de escuta ou evite usar a implementação DoQ se compilada com `--with-libngtcp2`.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões anteriores a 1.25.2 **Descrição** Aplicações que utilizam `libunbound` configuradas com o parâmetro `unwanted-reply-threshold` podem ser encerradas abruptamente. Isso ocorre quando o limite é atingido e o `libunbound` tenta chamar a função `libworker alloc cleanup()`, que está ausente da lista de permissões de chamadas de função. O problema é desencadeado quando o `unwanted-reply-threshold` é definido como um valor diferente de zero e o iterador consulta um servidor autoritativo que envia datagramas UDP com IDs de transação incorretos suficientes para ultrapassar esse limite, resultando em uma saída fatal do `libunbound` e no encerramento da aplicação incorporada. **Recomendações** Atualize para a versão 1.25.2 ou posterior. Como medida paliativa temporária, defina o parâmetro `unwanted-reply-threshold` como zero.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.22.0 through 1.25.1 **Description** Consultas DNS-over-QUIC (DoQ) terminadas pelo cliente não são contabilizadas corretamente, resultando em uma inflação do número de respostas aguardadas para consultas de resolução em andamento. Isso causa a degradação dos serviços de resolução para novos clientes. Um invasor pode explorar isso emitindo consultas DoQ e terminando-as imediatamente usando frames QUIC STOP SENDING, RESET STREAM ou CONNECTION CLOSE. Quando o limite máximo é atingido, novas consultas para resoluções em andamento são descartadas silenciosamente. Este problema requer que o software seja compilado com suporte a DoQ via `--with-libngtcp2` e que o `quic-port` esteja configurado. Além disso, o invasor precisa de múltiplos IPs de origem para ignorar a opção `wait-limit`. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** NLnet Labs Unbound versões 1.13.2 through 1.25.1 **Description** Um erro de off-by-one existe na lógica `harden-below-nxdomain`, que é habilitada por padrão. Este problema ocorre quando zonas stub ou forward estão localizadas abaixo de um rótulo intermediário que, por sua vez, está abaixo de uma zona assinada por DNSSEC. O recurso `harden-below-nxdomain` realiza uma varredura ascendente do cache DNS com um guarda de ponto de delegação destinado a evitar a síntese de NXDOMAIN acima de zonas stub ou forward. No entanto, como o guarda testa o nome do domínio antes de remover um rótulo, ele permite uma iteração onde o nome do domínio corresponde ao ápice da zona stub ou forward configurada. O processo então remove mais um rótulo e sonda o cache do pai público imediato do ápice. Se esse pai tiver um NXDOMAIN seguro por DNSSEC em cache, a varredura o retorna, fazendo com que o upstream da zona stub ou forward configurada seja ignorado e nunca contatado. Este comportamento é desencadeado por uma consulta ao rótulo intermediário entre o ápice stub ou forward e a zona pai DNSSEC. **Recommendations** Atualize o NLnet Labs Unbound para uma versão posterior à 1.25.1. Como mitigação temporária, considere desabilitar a lógica `harden-below-nxdomain`.