JVNDB-2026-016792

NLnet Labsのunboundにおける信頼できるデータ受け入れ時の信頼できない無関係なデータの受け入れに関する脆弱性

NLnet LabsのUnboundはバージョン1.25.0まで（含む）において、権威セクションのプロミスキャス（曖昧）レコードを介したポイズニングの脆弱性があります。権威セクションのDNS応答を補完するプロミスキャスなRRSetは、Unboundを騙してこれらのレコードをキャッシュさせるために利用される可能性があります。攻撃者がそのようなレコードを応答に添付できる場合（例：偽装パケットや断片化攻撃）、Unboundのキャッシュを汚染することが可能です。悪意ある攻撃者はNSレコード以外に、例えばMXレコードのようなアドレスレコードを伴うRRSetを注入してこのポイズン効果を悪用できます。これは応答パケットの偽装や断片化攻撃によって達成される可能性があります。Unboundはその後、権威RRSetが十分な信頼を持つ場合に追加セクションの関連アドレスレコードを受け入れてキャッシュします。Unbound 1.25.1では、権威NSレコードに明示的に関連しない追加セクションのアドレスレコードを無視する修正が含まれており、このポイズン効果を緩和しています。これにより安全性が改善されました。

NLnet Labs

• unbound 1.25.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

NLnet Labs

• NLnet Labs : https://www.nlnetlabs.nl/downloads/unbound/CVE-2026-42960.txt

1. 信頼できるデータ受け入れ時の信頼できない無関係なデータの受け入れ(CWE-349) [その他]

1. CVE-2026-42960

1. National Vulnerability Database (NVD) : CVE-2026-42960

• [2026年05月22日]
    掲載