Em Laboratórios NLnet Sem Ligações 1.6.0 até e incluindo 1.25.1, uma reprodução de um RRset de comodões como outro pedaço de dados, pode ser brevemente considerada DNSSEC segura com base apenas na validação RRSIG e armazenada em cache, antes que a validação posterior o trate como falso com base na validação NSEC. Quando o thread de resolução colocar seguro no rset, e outro thread que está no caminho expirado do serviço, então pega o conteúdo atualizado do rset com o status seguro para uma resposta, ele pode ser usado para alterar um registro específico, próximo a um comodinho que poderia ser coberto pelo comodinho, no comodinho. Um ator malicioso pode explorar o possível efeito venenoso, tendo qualquer domínio cantado pelo DNSSEC (irrelevante para o domínio vítima) e um registro de embalagem do CNAME que aponta para um registro próximo a um comodário (que poderia ser coberto pelo comodário). Então, sering Unbound para o registro de irmãos comodinhos semearia a mensagem segura. Uma consulta posterior (após expiração) para o wrapper do CNAME precisaria resolver o registro de irmãos- alvo. Se o replay de comodidades for injetado na resposta, o RRset de comodidades irá atualizar o registro de irmãos expirado com um estado seguro antes de completar a validação adequada do comodidades com os registros NSEC e, eventualmente, tratar a resposta de envolvimento do CNAME como falsa. O rrset envenenado atualizado está agora seguro e aponta para o comodário. Esta vulnerabilidade é explícita para o caminho expirado do serviço e necessita de injeção do rrset assinado sem o NSEC acompanhando o rrset. Registro de aconselhamento: GHSA- cj 23 - 2 crp- 2 xvv. Identificadores relacionados: CVE- 2026 - 46582.

Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 22 T 15: 31: 24.000 Z e lista a sua última modificação como 2026 - 07 - 22 T 15: 31: 24.000 Z. Severidade: LOW. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N.

Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões.

Classificação e evidência: identificadores de fraqueza CWE- 358. O registro contém 2 suporte de referências nestes tipos: AVISO, WEB.