注目★★★★★GitHub Advisory
Blocky DNSSECバイパス脆弱性：偽応答がキャッシュ汚染
30秒で把握
- 1Blocky の DNSSEC 検証をバイパスし偽 DNS 応答をキャッシュさせる脆弱性が確認
- 2RRSIG 不在応答の無検証通過と NSEC 悪用によるキャッシュスコープ汚染の2経路
- 3悪意あるアップストリーム停止後もキャッシュから毒入り応答が返り続けることを再現確認
要約
DNS プロキシ「Blocky」に、`dnssec.validate: true` 有効時でも DNSSEC 検証をバイパスできる脆弱性 (GHSA-x845-2f78-7v36) が確認された。攻撃経路は2つあり、1つ目は RRSIG レコードを含まない偽の正答をそのまま受け入れてキャッシュする基本バイパス、2つ目は NSEC/NSEC3 を含む偽の「非署名証明」で検証キャッシュを汚染する経路だ。悪意あるアップストリームが停止後もキャッシュから毒入り応答が返り続けることが再現確認された。
あなたへの影響
Blocky を社内 DNS リゾルバや DoH プロキシとして運用しているチームは、DNSSEC 検証が有効であっても偽応答がキャッシュされ得るため、現行バージョンを確認し修正版へのアップデートを検討すべき。
推奨：アップストリームを信頼できる実装 (例: Unbound) に限定するなどの暫定緩和策も有効な可能性がある。