原文

NLnet Labs Unbound のバージョン1.18.0から1.25.1までにおいて、「proxy-protocol-port」インターフェースで「answer-cookie: yes」が設定されている場合、RFC 9018のサーバークッキー用SipHashは、PROXYv2で宣言されたクライアントではなく、プロキシのワイヤーアドレスに基づいて計算されます。そのため、特定のプロキシノードを経由して取得された1つのサーバークッキーは、そのノードの背後にあるすべてのPROXYv2で宣言されたソースに対して有効になります。UDPとproxy-protocolのフロントにおいては、オフパス攻撃者が正当なクエリを1回実行して1つのクッキーを取得し、それを任意の偽装ソースでリプレイすることで、本来それを防ぐために導入されたDNS Cookieチェックを突破できる可能性があります。