JVNDB-2026-025344

NLnet Labsのunboundにおける境界条件の判定に関する脆弱性

NLnet LabsのUnboundバージョン1.13.2から1.25.1まで（1.25.1を含む）において、DNSSECで署名されたゾーンの中間ラベルの下に名前が位置するstubまたはforwardゾーンが、親ゾーンからの中間ラベルに対する安全なNXDOMAIN応答によってシャドウイングされる可能性があります。これは、'harden-below-nxdomain'ロジックにおけるオフバイワンのエラーが原因であり、このロジックはデフォルトで有効になっています。結果として、設定が実質的にバイパスされ、設定されたstub/forwardゾーンにはアクセスされなくなります。'harden-below-nxdomain'は、上方向へのDNSキャッシュウォークを行い、stub/forwardゾーンの上でのNXDOMAIN合成を許可しないデリゲーションポイントガードと連動します。このガードはドメイン名をテストしますが、ラベルを取り除く前にテストを行うため、ドメイン名が設定されたstub/forwardゾーンのエイペックスと等しい状態でガードを通過し、さらに1つラベルを剥ぎ取り、エイペックスの直上の公開親キャッシュをプローブします。その親がDNSSECで保護されたNXDOMAINをキャッシュしている場合（これは署名済みの公開名の下に2つ以上のラベルでネストされたプライベート名前空間で発生します）、ウォークはそのNXDOMAINを返し、設定されたstub/forwardゾーンの上流には一切アクセスされません。この問題は、中間ラベル（stub/forwardのエイペックスとDNSSEC親ゾーンの間）へのクエリによってのみ誘発されます。

NLnet Labs

• unbound 1.13.2 以上 1.25.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

NLnet Labs

• NLnet Labs : https://www.nlnetlabs.nl/downloads/unbound/CVE-2026-44687.txt

1. 境界条件の判定(CWE-193) [その他]

1. CVE-2026-44687

1. National Vulnerability Database (NVD) : CVE-2026-44687

• [2026年07月27日]
    掲載