原文

NLnet LabsのUnboundバージョン1.25.1まで（含む）において、バリデータがRRSIGでカバーされたPX/RP/MINFO/SOAのRRセットの正規RDATA形式を構築する際に、2番目の埋め込みドメイン名のアドレスを「datstart + dname_valid(datstart, ...)」として計算し、RDATA内に2番目の名前が実際に存在するかどうかを確認せずに、そのまま「query_dname_tolower()」に渡します。ワイヤフォーマットのパーサは、RDATAが最初の名前で終了するマルチドメイン名のRRを受け入れるため、DNSSEC署名された権威サーバを運用する攻撃者は、存在しない2番目のドメイン名（例：SOAレコード）を持つレコードを配信できます。「query_dname_tolower()」はワーカーごとの「env-＞scratch_buffer」のラベルを1つずつ辿り、ヒープ割り当ての終端を超えて（「msg-buffer-size」がデフォルトから低く設定されている場合）古いバイトを読み進めることを引き起こします。これによりヒープバッファのオーバーフローが発生し、リリースビルドではバッファの末尾や隣接するヒープチャンクの内容に大きく依存する結果となります。