AlmaLinux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1785888218アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.25.1までの Unbound 1.9.0では、DNSCrypt クエリが TCP 経由で受信されると、所定の位置の応答を暗号化するルーチンが、宛先バッファサイズに対する応答長をバインドできません。UDP パスを保護するサイズクランプが TCP パスに適用されていません。このため、65504 バイトを超える返信は、「msg-buffer-size」に等しい容量のバッファ内で 48 バイト前方にシフトされ、ヒープ割り当ての終端を超えて書き込みます。悪意のある暗号化された単一のクエリがリゾルバーをクラッシュさせ、サービス拒否を引き起こします。この脆弱性は、Unbound が DNSCrypt サポート(「--enable-dnscrypt」)でコンパイルされ、「dnscrypt:」節がリスニングインターフェイスに対して構成および有効化される必要があります。(CVE-2026-40691)

  - 1.25.1以前の NLnet Labs Unbound 1.16.2で、「ghost domain names」ファミリーの攻撃のCVE-2026-40622と同様の脆弱性が Unbound で見つかりました。これにより、ゴーストドメインウィンドウを A/AAAA グルーレコード用のキャッシュされた TTL 構成値が最大 1 つまで拡張される可能性があります。他の「ゴーストドメイン名」攻撃と同様に、攻撃者は (ゴースト) ゾーンをコントロールし、脆弱な Unbound に対してクエリを行える必要があります。単一のクライアント A/AAAA クエリにより、Unbound は、キャッシュされた期限切れの親側グルー rrset を上書きし、基本的にゴーストドメインウィンドウを最大 1 つのキャッシュ済み TTL 構成値(「cache-max-ttl」)だけ拡張する可能性があります。「harden-referral-path: yes」が使用される構成(非デフォルト構成)では、Unbound が暗黙的にクライアントクエリを実行するため、クライアントクエリは必要ありません。これは、NS クエリのみに対処する CVE-2026-40622 の変種です。(CVE-2026-42955)

  - バージョン 1.25.1 までの NLnet Labs Unbound では、libunbound を使用し、「unwanted-reply-threshold」で構成されているアプリケーションは、しきい値に達した場合に突然終了する可能性があります。そして、関数が関数呼び出しの許可リストから欠落しているため、libunbound は「libworker_alloc_cleanup」を呼び出す必要があります。libunbound を使用するアプリケーションが「unwanted-reply-threshold」をゼロ以外の値に設定し、反復子がしきい値を超えるのに十分な量の wrong-transaction-id UDP データグラムで応答する権威をクエリする場合、「libworker_alloc_cleanup」は最終的に呼び出されます。この関数は関数呼び出しの許可リストから欠落しているため、libunbound の致命的な終了と、最終的に埋め込みアプリケーションの終了につながります。関連する関数「worker_alloc_cleanup」が許可リストに登録され、文書化されたキャッシュフラッシュの実行に進むため、Unbound 自体は影響を受けません。(CVE-2026-44621)

  - 名前が DNSSEC 署名済みゾーンより下にある 1.25.1、スタブまたはフォワードゾーンまでの NLnet Labs Unbound 1.13.2では、親からの中間ラベルの安全な NXDOMAIN 応答によってシャドー化される可能性があります。これは、「harden-below-nxdomain」ロジックの off-by-one エラーによって引き起こされます。
    デフォルトで有効化されています。これは構成を効果的にバイパスし、構成済みのスタブ/フォワードゾーンとは一切接触しません。「harden-below-nxdomain」は、スタブ/フォワードゾーンを超える NXDOMAIN 合成を許可しない委任ポイントガードとともに、Upward DNS キャッシュウォークを行います。ガードは、ラベルを削除する前に、ドメイン名をテストします。この結果、ドメイン名が構成済みのスタブ/フォワードゾーン頂点と等しい反復が起こり、ガードを通過し、もう 1 つのラベルを取り去り、頂点の直近の公開親でキャッシュをプローブします。その親がキャッシュされた DNSSEC で安全な NXDOMAIN を持っている場合、署名付きの公開名の下に 2 つ以上のラベルがネスト化されたプライベート名前空間に対して、その親はそれを返し、構成済みのスタブ/フォワード上流とは一切接触しません。これは、(スタブ/フォワード頂点と DNSSEC 親ゾーンの間)中間ラベルのクエリによってのみ発生する可能性があります。(CVE-2026-44687)

  - 1.25.1 までの NLnet Labs Unbound 1.6.0では、別のデータとしてワイルドカード rrset をリプレイすると、RRSIG 検証のみに基づいて一時的に DNSSEC が安全であると判断され、キャッシュに保存されてから、その後の検証で NSEC 検証に基づいて偽造として処理される可能性があります。解決スレッドが rrset にセキュアを設定し、サーブ失効パス上にある別のスレッドが返信のセキュアステータスを持つ更新済み rrset コンテンツを取得するとき、ワイルドカードでカバーされる可能性があるワイルドカードの横の特定のレコードをワイルドカードに変更するために使用できます。悪意のある攻撃者が、(被害者のドメインとは無関係の)DNSSEC 署名ドメインと、(ワイルドカードでカバーされる可能性がある)ワイルドカードの隣のレコードを指す CNAME ラッパーレコードを持つことで、起こり得る有害な影響を悪用する可能性があります。次に、ワイルドカードの兄弟レコードに対して Unbound をクエリすると、安全なメッセージがシードされます。CNAME ラッパーの後から(有効期限が切れた後に)クエリを実行すると、ターゲットの兄弟レコードを解決する必要があります。ワイルドカードリプレイが応答に注入されると、ワイルドカード rrset は、期限切れの兄弟レコードを安全な状態で更新してから、NSEC レコードで適切なワイルドカード検証を完了し、最終的に CNAME ラッパー回答を偽造として処理します。更新済みのポイズニングされた rrset は安全になり、ワイルドカードをポイントします。この脆弱性は、サーブの失効パスに対して明示的であり、NSECを伴わないrrsetなしで、署名されたワイルドカードrrsetを挿入する必要があります。(CVE-2026-46582)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

AlmaLinux 9.6 [TuxCare] セキュリティ更新プログラム:python3-unbound/unbound/unbound-devel/unbound-dracut/などの複数の脆弱性(ALMALINUX9.6:CLSA-2026:1785888218)

medium Nessus プラグイン ID 359612