CVE-2026-50252

NLnet Labs Unbound 1.4.22-dən 1.25.1 daxil olmaqla versiyalarda UDP mənbə portu təsadüfiləşdirilir və DNS tranzaksiyalarının entropiyasını artıran gizli dəyər kimi xidmət etməsi nəzərdə tutulur. Resolverin yük balanslaşdırma siyasətləri mənbə portundan asılı olduqda və onların nəticəsi aşkar edildikdə, bu gizlilik pozulur. Zəiflik yük balanslaşdırma siyasəti daxil olan mənbə UDP portuna və IP ünvanına görə ardıcıl olduqda, eyni zamanda təsadüfiləşdirmə mənbəyi kimi daxil olan mənbə UDP portundan güclü asılı olduqda yaranır. Unbound-da SO_REUSEPORT konfiqurasiya seçimi aktiv olduqda ('so-reuseport: yes') (defolt olaraq), bu şərtləri ödəyir və onu DNS keş zəhərlənməsi hücumlarına qarşı zəif edir. İşə salındıqda Unbound mövcud UDP mənbə portu sahəsini təsadüfi olaraq (demək olar ki) bərabər ölçülü ayrı-ayrı alt çoxluqlara bölür və hər alt çoxluğu müəyyən bir işçi axınına təyin edir. Daxil olan DNS sorğusu qəbul edildikdə, nüvənin SO_REUSEPORT yük balanslaşdırma mexanizmi sorğunu deterministik olaraq müəyyən bir axınla əlaqəli soketə təyin edir. Həmin sorğunun həlli zamanı yaradılan bütün gedən DNS sorğuları mənbə portlarını yalnız uyğun axına təyin edilmiş port alt çoxluğundan seçir. Bu port alt çoxluqları axınlar arasında ayrı-ayrı olduğundan, resolverin avtoritativ ad serverinə göndərdiyi gedən sorğuda müşahidə olunan mənbə portu ilkin müştəri sorğusunu emal edən işçi axınının etibarlı göstəricisi kimi xidmət edir. Zərərli aktyor daxil olan UDP mənbə portları (verilmiş sabit mənbə IP ünvanı üçün) ilə Unbound işçi axınları arasındakı uyğunluğu əldə edə və hər axın üzrə təsadüfi port populyasiyasını effektiv şəkildə azaldaraq DNS keş zəhərlənməsi hücumları həyata keçirmək üçün ondan istifadə edə bilər.