JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-025280 NLnet Labs の Unbound バージョン 1.23.0 から 1.25.1 まで（含む）において、「dns-error-reporting: yes」が設定されている場合、最後の上流レスポンスから EDNS Report-Channel オプション（コード 18）が読み取られ、そのオプションの長さがエージェントドメインの長さとして使用されます。エージェントドメインに対してドメイン名の検証が行われる際、返される長さは使用されず、もしエージェントドメインの後にゴミデータが続いている場合、それらのバイトは合成された「_er.」レポートクエリ名の末尾に移動されます。そのクエリ名は後にイテレータ内のサブクエリを通じて DNS エラーレポートの送信に使われます。Unbound が「find_closest_of_type()」中にそのクエリ名を走査しようとするとき、埋め込みルートで停止せずクエリ名の長さに基づいてラベルを切り取るため、1 バイト余分に走査します。そして、その最初のゴミバイトをラベル長として「dname_query_hash()」に渡し、スタック変数「labuf」を上書きします。攻撃者が制御する委任ゾーンからの通常の上流レスポンス 1 つだけで、デーモンを終了させることが可能です。 cpe:/a:nlnetlabs:unbound https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-025280.html Common Vulnerabilities and Exposures (CVE) CVE-2026-55973 https://www.cve.org/CVERecord?id=CVE-2026-55973 National Vulnerability Database (NVD) CVE-2026-55973 https://nvd.nist.gov/vuln/detail/CVE-2026-55973 JVNDB CWE-20 https://jvndb.jvn.jp/ja/cwe/CWE-20.html NLnet Labs https://www.nlnetlabs.nl/downloads/unbound/CVE-2026-55973.txt https://www.nlnetlabs.nl/downloads/unbound/CVE-2026-55973.txt 2026-07-27T10:29:52+09:00 2026-07-27T10:29:52+09:00