🇰🇷 한글 설명
NLnet Labs Unbound 1.13.2부터 1.25.1 버전에서 'harden-below-nxdomain' 로직의 오프바이원(off-by-one) 오류로 인해 특정 스텁 또는 포워드 존이 섀도잉될 수 있습니다. 이 오류로 인해 DNSSEC 서명된 존 아래의 중간 레이블에 대한 NXDOMAIN 응답이 설정된 포워드 존 설정을 우회하여 캐시에서 반환됩니다. 결과적으로 구성된 스텁/포워드 존에 대한 질의가 전달되지 않고 차단될 수 있습니다.
💡 쉬운 설명
특정 DNS 설정 오류로 인해, 원래 찾아가야 할 전용 서버 대신 잘못된 '존재하지 않음' 응답을 받게 되는 문제입니다. 이로 인해 사용자가 의도한 특정 네트워크 주소로 연결되지 않고 연결이 끊길 수 있습니다.
🇺🇸 원문 (English)
In NLnet Labs Unbound 1.13.2 up to and including 1.25.1, stub or forward zones where the name is below an intermediate labed below a DNSSEC signed zone could be shadowed by the intermediate label's secure NXDOMAIN answer from the parent. This is caused by an off-by-one error in 'harden-below-nxdomain' logic; enabled by default. It effectively bypasses the configuration and the configured stub/forward zone is never contacted. 'harden-below-nxdomain' does an upward DNS cache walk together with a delegation point guard that does not allow NXDOMAIN synthesis above stub/forward zones. The guard tests the domain name but before stripping a label. This results in an iteration where the domain name equals the configured stub/forward zone apex that passes the guard, strips one more label, and probes the cache at the apex's immediate public parent. If that parent has a cached DNSSEC-secure NXDOMAIN, which it will for any private namespace nested two or more labels under a signed public name, the walk returns it and the configured stub/forward upstream is never contacted. This can only be triggered by the query for the intermediate label (between the stub/forward apex and the DNSSEC parent zone).
📍 영향받는 시스템
NLnet Labs Unbound 1.13.2 ~ 1.25.1
⚔️ 공격 벡터
DNSSEC 서명된 상위 존 아래의 중간 레이블에 대한 질의를 유도하여 설정된 포워드 존을 우회함
🛡️ 대응 방법
Unbound를 1.25.1 이후의 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.13.2에서 1.25.1 사이라면 해당 취약점에 노출된 상태입니다.
unbound -V 2>/dev/null | grep -E 'Unbound [0-9]+\.[0-9]+\.[0-9]+'