CVE-2026-46582

NLnet Labs Unbound 1.6.0 versiyasından 1.25.1 versiyasına qədər olan versiyalarda, wildcard rrset-in digər məlumat kimi təkrar göndərilməsi yalnız RRSIG təsdiqi əsasında qısamüddətli olaraq DNSSEC təhlükəsiz hesab edilə və keşə yazıla bilər, daha sonra isə NSEC təsdiqi əsasında yanlış (bogus) kimi qiymətləndirilər. Resolving thread rrset-i təhlükəsiz etdikdə və "serve expired" yolunda olan digər bir thread cavab üçün yenilənmiş rrset məzmununu təhlükəsiz statusu ilə götürdükdə, bu, wildcard tərəfindən əhatə oluna bilən konkret bir yazını wildcard-a dəyişmək üçün istifadə edilə bilər. Bədniyyətli aktor hər hansı bir DNSSEC imzalı domenə (qurban domenlə əlaqəsiz) və wildcard-ın yanında yerləşən (wildcard tərəfindən əhatə oluna bilən) bir yazıya yönələn CNAME wrapper yazısına sahib olmaqla mümkün zəhərləmə effektindən istifadə edə bilər. Daha sonra Unbound-dan wildcard qardaş yazısı soruşulduqda təhlükəsiz mesaj formalaşdırılır. Sonrakı (vaxtı bitdikdən sonra) CNAME wrapper sorğusu hədəf qardaş yazısını həll etməli olacaq. Əgər wildcard təkrarı cavaba daxil edilərsə, wildcard rrset-i NSEC yazıları ilə düzgün wildcard təsdiqini tamamlamazdan və nəticədə CNAME wrapper cavabını yanlış hesab etməzdən əvvəl, vaxtı bitmiş qardaş yazısını təhlükəsiz statusu ilə yeniləyəcəkdir. Yenilənmiş zəhərli rrset artıq təhlükəsizdir və wildcard-a yönəlir. Bu zəiflik xüsusi olaraq "serve expired" yolu üçündür və müşayiət edən NSEC rrset-i olmadan imzalanmış wildcard rrset-inin daxil edilməsini tələb edir.