CVE-2025-11411

NLnet Labs Unbound up to and including version 1.24.1 is vulnerable to possible domain hijack attacks. Promiscuous NS RRSets that complement positive DNS replies in the authority section can be used to trick resolvers to update their delegation information for the zone. Usually these RRSets are used to update the resolver's knowledge of the zone's name servers. A malicious actor can exploit the possible poisonous effect by injecting NS RRSets (and possibly their respective address records) in a reply. This could be done for example by trying to spoof a packet or fragmentation attacks. Unbound would then proceed to update the NS RRSet data it already has since the new data has enough trust for it, i.e., in-zone data for the delegation point. Unbound 1.24.1 includes a fix that scrubs unsolicited NS RRSets (and their respective address records) from replies mitigating the possible poison effect. Unbound 1.24.2 includes an additional fix that scrubs unsolicited NS RRSets (and their respective address records) from YXDOMAIN and non-referral nodata replies, further mitigating the possible poison effect.

NLnet Labs Unbound hasta e incluyendo la versión 1.24.1 es vulnerable a posibles ataques de secuestro de dominio. Los RRSets NS promiscuos que complementan las respuestas DNS positivas en la sección de autoridad pueden usarse para engañar a los resolvedores para que actualicen su información de delegación para la zona. Usualmente, estos RRSets se usan para actualizar el conocimiento del resolvedor sobre los servidores de nombres de la zona. Un actor malicioso puede exploit el posible efecto de envenenamiento inyectando RRSets NS (y posiblemente sus respectivos registros de dirección) en una respuesta. Esto podría hacerse, por ejemplo, intentando suplantar un paquete o mediante ataques de fragmentación. Unbound procedería entonces a actualizar los datos del RRSet NS que ya tiene, ya que los nuevos datos tienen suficiente confianza para ello, es decir, datos en zona para el punto de delegación. Unbound 1.24.1 incluye una corrección que elimina los RRSets NS no solicitados (y sus respectivos registros de dirección) de las respuestas, mitigando el posible efecto de envenenamiento. Unbound 1.24.2 incluye una corrección adicional que elimina los RRSets NS no solicitados (y sus respectivos registros de dirección) de las respuestas YXDOMAIN y nodata sin referencia, mitigando aún más el posible efecto de envenenamiento.