Na niezwiązanym serwerze DNS (), co może prowadzić do wykonania kodu atakującego po otrzymaniu specjalnie sformatowanych odpowiedzi. Problem dotyczy systemów tylko w przypadku budowania Unbound z modułem ipsec („-enable-ipsecmod”) i włączeniem ipsecmod w ustawieniach. Luka pojawia się począwszy od wersji 1.6.4 i została naprawiona w nowej wersji .
Luka jest spowodowana transmisją znaków bez zmiany znaczenia podczas wywoływania polecenia powłoki ipsecmod-hook podczas odbierania żądania dotyczącego domeny, dla której obecne są rekordy A/AAAA i IPSECKEY. Podstawienie kodu odbywa się poprzez podanie specjalnie zaprojektowanej nazwy domeny w polach qname i gateway skojarzonych z rekordem IPSECKEY.
Źródło: opennet.ru