CVE-2026-46582

NLnet Labs Unbound 1.6.0 ile 1.25.1 dahil arasındaki sürümlerde, bir wildcard rrset'in başka bir veri parçası olarak yeniden oynatılması, yalnızca RRSIG doğrulamasına dayanarak kısa süreliğine DNSSEC güvenli olarak değerlendirilebilir ve önbelleğe alınabilir; daha sonra yapılan doğrulama ise bunu NSEC doğrulamasına dayanarak hatalı (bogus) olarak işler. Çözümleyici iş parçacığı rrset'e güvenli durumunu atadığında ve ardından süresi dolmuş yanıt sunma yolundaki başka bir iş parçacığı, bir yanıt için güncellenmiş rrset içeriğini güvenli durumuyla birlikte aldığında, bu durum wildcard tarafından kapsanabilecek bir wildcard yanındaki belirli bir kaydın, wildcard ile değiştirilmesi için kullanılabilir. Kötü niyetli bir aktör, herhangi bir DNSSEC imzalı alan adına (kurban alan adıyla ilgisiz) ve wildcard yanındaki bir kayda (wildcard tarafından kapsanabilecek olan) işaret eden bir CNAME sarmalayıcı kayda sahip olarak olası zehirleme etkisini istismar edebilir. Ardından, wildcard kardeş kaydı için Unbound'a sorgu göndermek güvenli mesajı başlatacaktır. Daha sonraki (süre aşımından sonraki) bir CNAME sarmalayıcı sorgusu, hedef kardeş kaydı çözmek zorunda kalacaktır. Wildcard yeniden oynatma işlemi yanıta enjekte edilirse, wildcard rrset, NSEC kayıtlarıyla uygun wildcard doğrulamasını tamamlamadan ve nihayetinde CNAME sarmalayıcı yanıtını hatalı olarak işlemeden önce, süresi dolmuş kardeş kaydı güvenli durumuyla güncelleyecektir. Güncellenen zehirli rrset artık güvenlidir ve wildcard'a işaret eder. Bu güvenlik açığı, özellikle süresi dolmuş yanıt sunma yolu için geçerlidir ve beraberindeki NSEC rrset'i olmadan imzalı wildcard rrset'inin enjekte edilmesini gerektirir.