CVE-2026-46582

Nome do Software Vulnerável e Versões Afetadas NLnet Labs Unbound versões 1.6.0 até 1.25.1

Descrição Existe uma falha onde a repetição de um rrset (Resource Record Set) de curinga pode ser brevemente marcada como DNSSEC segura com base apenas na validação RRSIG (Resource Record Signature) e armazenada no cache antes que a validação NSEC (Next Secure) a identifique como falsa. Isso ocorre quando uma thread de resolução marca um rrset como seguro e outra thread no caminho de atendimento expirado recupera esses conteúdos atualizados para uma resposta. Um invasor pode explorar isso para alterar um registro específico adjacente a um curinga para esse curinga. Isso é feito usando um domínio assinado por DNSSEC e um registro de wrapper CNAME que aponta para um registro próximo a um curinga. Ao consultar o registro irmão do curinga e, posteriormente, injetar uma repetição de curinga em uma resposta para o wrapper CNAME após a expiração, o rrset envenenado é marcado como seguro e aponta para o curinga. Este problema afeta especificamente o caminho de atendimento expirado e requer a injeção de um rrset de curinga assinado sem o rrset NSEC acompanhante.

Recomendações Atualize o NLnet Labs Unbound para uma versão posterior à 1.25.1.