CVE-2026-55973

NLnet Labs Unbound 1.23.0 ile 1.25.1 dahil arasındaki sürümlerde, 'dns-error-reporting: yes' ayarı etkinleştirildiğinde, son üst akış (upstream) yanıtındaki EDNS Report-Channel seçeneği (kod 18) okunur ve bu seçeneğin uzunluğu, ajan etki alanının uzunluğu olarak kullanılır. Ajan etki alanı üzerinde bir etki alanı adı kontrolü gerçekleştirildiğinde, döndürülen uzunluk kullanılmaz ve eğer ajan etki alanını rastgele veriler takip ediyorsa, bu baytlar sentetik '_er.' rapor sorgu adının sonuna eklenir. Bu sorgu adı daha sonra iteratörde, DNS Hata Raporunu göndermek için bir alt sorgu aracılığıyla kullanılır ve Unbound 'find_closest_of_type()' sırasında bu sorgu adını çözümlemeye çalıştığında, gömülü kökte durmak yerine sorgu adı uzunluğunu kullanarak etiketleri temizler, bunun bir bayt ötesine geçer ve ilk rastgele baytı bir etiket uzunluğu olarak 'dname_query_hash()' fonksiyonuna aktararak yığındaki 'labuf' değişkeninin üzerine yazar. Saldırganın kontrol ettiği delegasyon yapılmış bir bölgeden gelen tek bir sıradan üst akış yanıtı, daemon işlemini sonlandırmak için yeterlidir.