原文

NLnet LabsのUnbound 1.15.0から1.25.1まで（1.25.1を含む）において、DNS-over-TLS（DoT）の転送クエリに使用されるTLSサーバ名は、ある構造体（'serviced_query'）のライフタイムに結びついていますが、別の構造体（'waiting_tcp'）からも参照されています。DoTのTCPストリームがまだハンドシェイク中でメッシュから排除されると、所有する構造体に関連する参照文字列の背後にあるストレージが解放されます。その後TLSストリームがエラーになると、解放済みポインタが逆参照されます。この逆参照は読み取り専用であり、実際にはデーモンのクラッシュを引き起こし、サービス拒否（DoS）状態となります。DoT転送/スタブのUnboundの設定を知る悪意のある攻撃者は、適切なゾーンレコードを問い合わせつつ、Unboundに負荷をかけて排除ロジックが発動するように操作することで、この脆弱性を悪用できます。脆弱なゾーンの応答が遅いほど、そのようなクエリが排除される可能性は高まりますが、排除のタイミングは正確である必要があります。脆弱なUnboundで条件となるのは、DoT用に設定されたスタブ/フォワードゾーンの存在と、サーバ識別の'#authname'サフィックスが設定されていることです。サーバへの接続は、脆弱なエラーパスを誘発するために正しいタイミングで一時的な障害を示す必要があります。