原文

NLnet LabsのUnboundバージョン1.4.22から1.25.1まで（1.25.1を含む）では、UDPの送信元ポートがランダム化されており、DNSトランザクションのエントロピーを高める秘密値として機能することを意図しています。しかし、リゾルバの負荷分散ポリシーが送信元ポートに依存し、その結果が外部に明らかになる場合、この秘密性は損なわれます。本脆弱性は、負荷分散ポリシーが着信UDP送信元ポートおよびIPアドレスに対して一貫性を保ちつつ、着信UDP送信元ポートをランダム化のソースとして強く依存している場合に発生します。UnboundでSO_REUSEPORT設定オプションが有効（'so-reuseport: yes'、デフォルト設定）である場合、これらの条件を満たし、DNSキャッシュポイズニング攻撃に対して脆弱となります。起動時にUnboundは利用可能なUDP送信元ポート空間をランダムにほぼ等しいサイズの互いに重複しない部分集合に分割し、それぞれの部分集合を特定のワーカースレッドに割り当てます。DNSクエリが着信すると、カーネルのSO_REUSEPORT負荷分散機構が決まった方法でそのクエリを特定のスレッドに関連付けられたソケットに割り当てます。リクエストの処理中に生成されるすべての送信DNSクエリは、対応するスレッドに割り当てられたポート部分集合からのみ送信元ポートを選択します。これらのポート部分集合はスレッド間で重複しないため、権威DNSサーバーに送信されるリゾルバの外向きクエリにおいて観測される送信元ポートは、元のクライアントクエリを処理したワーカースレッドを正確に示す指標となります。悪意のある攻撃者は、特定の固定送信元IPアドレスに対する着信UDP送信元ポートとUnboundワーカースレッド間のマッピングを取得し、スレッドごとのランダムポートの多様性を効果的に減少させることで、DNSキャッシュポイズニング攻撃を成功させることが可能となります。