原文

NLnet LabsのUnboundバージョン1.13.2から1.25.1まで（1.25.1を含む）において、DNSSECで署名されたゾーンの中間ラベルの下に名前が位置するstubまたはforwardゾーンが、親ゾーンからの中間ラベルに対する安全なNXDOMAIN応答によってシャドウイングされる可能性があります。これは、'harden-below-nxdomain'ロジックにおけるオフバイワンのエラーが原因であり、このロジックはデフォルトで有効になっています。結果として、設定が実質的にバイパスされ、設定されたstub/forwardゾーンにはアクセスされなくなります。'harden-below-nxdomain'は、上方向へのDNSキャッシュウォークを行い、stub/forwardゾーンの上でのNXDOMAIN合成を許可しないデリゲーションポイントガードと連動します。このガードはドメイン名をテストしますが、ラベルを取り除く前にテストを行うため、ドメイン名が設定されたstub/forwardゾーンのエイペックスと等しい状態でガードを通過し、さらに1つラベルを剥ぎ取り、エイペックスの直上の公開親キャッシュをプローブします。その親がDNSSECで保護されたNXDOMAINをキャッシュしている場合（これは署名済みの公開名の下に2つ以上のラベルでネストされたプライベート名前空間で発生します）、ウォークはそのNXDOMAINを返し、設定されたstub/forwardゾーンの上流には一切アクセスされません。この問題は、中間ラベル（stub/forwardのエイペックスとDNSSEC親ゾーンの間）へのクエリによってのみ誘発されます。