原文

NLnet Labs の Unbound バージョン 1.23.0 から 1.25.1 まで（含む）において、「dns-error-reporting: yes」が設定されている場合、最後の上流レスポンスから EDNS Report-Channel オプション（コード 18）が読み取られ、そのオプションの長さがエージェントドメインの長さとして使用されます。エージェントドメインに対してドメイン名の検証が行われる際、返される長さは使用されず、もしエージェントドメインの後にゴミデータが続いている場合、それらのバイトは合成された「_er.」レポートクエリ名の末尾に移動されます。そのクエリ名は後にイテレータ内のサブクエリを通じて DNS エラーレポートの送信に使われます。Unbound が「find_closest_of_type()」中にそのクエリ名を走査しようとするとき、埋め込みルートで停止せずクエリ名の長さに基づいてラベルを切り取るため、1 バイト余分に走査します。そして、その最初のゴミバイトをラベル長として「dname_query_hash()」に渡し、スタック変数「labuf」を上書きします。攻撃者が制御する委任ゾーンからの通常の上流レスポンス 1 つだけで、デーモンを終了させることが可能です。