Всички версии на DNS резолвъра Unbound преди 1.26.1 съдържат критичен препълващ динамичната памет (heap overflow) проблем в своя DNSSEC валидатор, съобщиха от поддържащата организация NLnet Labs в официално предупреждение в сряда.
Атакуващ, който контролира злонамерена зона и изпраща заявка към уязвим резолвър, може да задейства уязвимостта, което позволява отдалечено изпълнение на код (RCE).
Unbound 1.26.1, пуснат на същия ден, отстранява уязвимостта, проследявана като CVE-2026-81642, заедно с още осем други грешки. Една от тях, CVE-2026-82717, представлява грешка, водеща до повреждане на динамичната памет (heap corruption) при CNAME синтез, докладвана от Бен Морис от Anthropic. Тя също би могла да доведе до отдалечено изпълнение на код „при определени системи и опции за компилация“, посочват от NLnet Labs.
От NLnet Labs не са съобщили за използване на нито една от двете уязвимости в реални атаки, а в записа на CISA за CVE-2026-81642 експлоатацията беше отбелязана като „няма“ в сряда.
NLnet Labs оценява уязвимостта в DNSKEY като критична (Critical) с CVSS оценка 4.0 (9.1), като нейната оценка описва вектор на атака през мрежата, който не изисква привилегии или взаимодействие с потребителя. NVD посочи CVE като „Очаква анализ“ в сряда, така че 9.1 е собствената оценка на разработчиците.
Препълването възниква, докато валидаторът обработва DNSKEY запис, чието име на собственик е показалец за компресия (compression pointer), сочещ към самите данни на записа. Въздействието, посочено от NLnet Labs, е отказ от услуга (DoS), с възможност за отдалечено изпълнение на код „чрез данни, контролирани от атакуващия“.
Засегнати са всички версии до 1.26.0 включително. Това включва 1.25.2, сигурностната версия от юли, и 1.26.0, пусната на 4 август. Критичната грешка във валидатора, която NLnet Labs коригира през май (CVE-2026-33278), е различен проблем и актуализацията 1.25.1, която я отстрани, не коригира настоящата уязвимост.
NLnet Labs не поставя специфични изисквания към конфигурацията за този обхват от версии и не е уточнeно дали резолвър с изключена DNSSEC валидация е достъпен за атака.
Обновяване или инсталиране на корекции за сигурност
Unbound 1.26.1 е наличен като изходен код с контролни суми и PGP подпис, както и като Windows инсталатори и бинарни файлове. Ако не можете да актуализирате, предупреждението предоставя два начина да инсталирате корекции за сигурност в изходния код:
- Приложете минималната корекция или пълната корекция само за CVE-2026-81642 с
patch -p1, напримерpatch -p1 < patch_CVE-2026-81642_with.diff, след което изпълнетеmake install. - Вместо това приложете комбинираната корекция за всичките девет отстранени уязвимости. За нея също съществува минимална версия.
От NLnet Labs заявяват, че самостоятелните корекции за сигурност за CVE-2026-81642 и CVE-2026-82717 са тествани и работят върху версия 1.26.0. Тяхната политика за сигурност е да се отстраняват уязвимости в последната пусната версия.
Системата за проследяване на сигурността на Debian посочи unbound 1.26.1-1 като коригиран в клона unstable в четвъртък, докато клоновете bookworm, trixie и forky все още са отбелязани като уязвими.
Деветте отстранени уязвимости
Бележките към версията посочват девет CVE идентификатора. Таблицата показва засегнатите версии и условието за задействане на всяка една според формулировката на NLnet Labs.
| CVE | Сериозност | Засегнати версии | Изисква | Въздействие |
|---|---|---|---|---|
| CVE-2026-81642 | Critical | До 1.26.0 включително | Атакуващ, който контролира злонамерена зона и изпраща заявка към резолвъра | Отказ от услуга, възможно отдалечено изпълнение на код |
| CVE-2026-82717 | High | До 1.26.0 включително | CNAME синтез по време на отговор от изходящия сървър. Изпълнение на код „при определени системи и опции за компилация“ | Отказ от услуга, възможно отдалечено изпълнение на код |
| CVE-2026-81634 | High | До 1.26.0 включително | Заявка с дължина 255 знака с голям TCP отговор от злонамерен сървър за имена или модифициран отговор | Отказ от услуга |
| CVE-2026-77955 | Medium | От 1.13.2 до 1.26.0 включително | Зони с zonemd-check: yes, разположени под, но не и на нивото на trust anchor | Отказ от услуга, времеви прозорец, в който се предоставят манипулирани данни за зоната преди ZONEMD проверката |
| CVE-2026-78227 | Medium | От 1.22.0 до 1.26.0 включително | Компилиран с --with-libngtcp2 и конфигуриран quic-port | Отказ от услуга |
| CVE-2026-80225 | Medium | До 1.26.0 включително | Продължителен поток от различни некеширани имена през една TCP или DoT връзка | Влошаване на услугата |
| CVE-2026-82720 | Medium | От 1.12.0 до 1.26.0 включително | Компилиран с --with-libnghttp2 и конфигуриран https-port. NLnet Labs определя въздействието като ограничено | Отказ от услуга |
| CVE-2026-85501 | Medium | До 1.26.0 включително | Злонамерени зони, използващи атаки с алгоритмична сложност ReTrap (TagTrap, DelegationTrap, NsecTrap, AdditionalTrap) | Влошаване на услугата |
| CVE-2026-77860 | Low | От 1.20.0 до 1.26.0 включително | Пътят в кода serve-expired, заобикалящ противодействието, добавено за DNSBomb | Може да участва в пулсираща DoS атака с усилване (amplification) |
Корекцията за ReTrap също така променя настройка по подразбиране: val-clean-additional вече е изключена, така че Unbound по подразбиране вече не валидира DNSSEC данни в допълнителната секция (additional section) на отговора.
Уязвимостта е докладвана на NLnet Labs на 11 август от Юки Цю (Yuqi Qiu), който я е открил заедно с Сян Ли (Xiang Li) в AOSP Lab към университета Нанкай (Nankai University), според хронологията в записа на CVE. NLnet Labs предоставя корекция за сигурност на следващия ден, а докладващият я потвърждава на 13 август. Фиксираната версия е пусната пет седмици по-късно с пакета 1.26.1.
Политиката за сигурност на NLnet Labs гласи, за проблеми, които все още не са публични, че се стреми да издава корекции „в рамките на броени седмици“.