CVE-2026-50252
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W bibliotece Unbound od wersji 1.4.22 do 1.25.1 stwierdzono podatność na zatruwanie pamięci podręcznej DNS. Problem wynika z deterministycznego przypisywania zakresów portów UDP do wątków roboczych przy włączonej opcji SO_REUSEPORT, co umożliwia atakującemu przewidzenie portu źródłowego i obniżenie entropii transakcji DNS.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeprowadzenia ataku zatruwania pamięci podręcznej DNS, co może prowadzić do przekierowania ruchu sieciowego na złośliwe serwery i przechwycenia poufnych danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Unbound do wersji 1.25.2 lub nowszej, która zawiera poprawkę usuwającą tę podatność. Jako tymczasowe obejście można rozważyć wyłączenie opcji so-reuseport w konfiguracji.
Inne podatności w Unbound
Zobacz wszystkie- CVE-2026-81642Krytyczne
W NLnet Labs Unbound do wersji 1.26.0 włącznie znaleziono podatność w walidatorze DNSSEC, która umożliwia atak DoS i potencjalne zdalne wykonanie kodu przez przetwarzanie DNSKEY. Specjalnie spreparowany DNSKEY z wskaźnikiem kompresji właściciela może przepełnić bufor.
- CVE-2026-42960Krytyczne
NLnet Labs Unbound do wersji 1.25.0 włącznie jest podatny na zatruwanie pamięci podręcznej poprzez promiscuous rekordy w sekcji autorytatywnej. Atakujący może wstrzyknąć rekordy inne niż NS (np. MX) wraz z rekordami adresowymi, które Unbound buforuje, co prowadzi do zatrucia pamięci podręcznej. Wersja 1.25.1 zawiera poprawkę odrzucającą rekordy adresowe z sekcji dodatkowej, jeśli nie są one jawnie związane z rekordami NS.
- CVE-2026-33278Krytyczne
NLnet Labs Unbound od wersji 1.19.1 do 1.25.0 ma podatność w walidatorze DNSSEC polegającą na błędzie przypisania struktury podczas głębokiego kopiowania, co prowadzi do wiszącego wskaźnika i potencjalnego wykonania kodu.
- CVE-2026-97206Wysokie
NLnet Labs Unbound w wersjach od 1.22.0 do 1.26.1 zawiera błąd cyklu życia DNS-over-QUIC (DoQ) osiągalny przez zdalnego klienta DoQ w trybie wielowątkowym. Migracja ścieżki QUIC wywołana przez klienta może wejść w czyszczenie strumienia/połączenia, podczas gdy odpowiedź mesh nadal przechowuje wskaźnik do strumienia DoQ. Czyszczenie zwalnia strumień DoQ, a gdy oczekująca odpowiedź mesh później się kończy, następuje dereferencja nieaktualnego wskaźnika prowadząca do awarii.
- CVE-2026-96405Średnie
NLnet Labs Unbound do wersji 1.26.1 włącznie ogranicza przechodzenie wskaźników kompresji dla każdej pojedynczej operacji na nazwie domeny, ale nie ma zbiorczego budżetu na przetwarzanie dekompresji przychodzącej. Wiele łańcuchowych wskaźników kompresji w wiadomości powoduje duże zużycie CPU. Złośliwy aktor z dostępem do zapytań rekurencyjnych i kontrolą zwykle delegowanego autorytetu, który serwuje specjalnie spreparowane odpowiedzi, może wykorzystać podatność i pogorszyć ogólną wydajność Unbound.
- CVE-2026-50106Średnie
W NLnet Labs Unbound do wersji 1.26.1 włącznie, gdy skonfigurowano zarówno główny trust anchor, jak i dodatkowy 'trust-anchor:' dla strefy island-of-security, której rodzic jest udowodniony jako niezabezpieczony w łańcuchu głównym, złośliwy aktor mogący dostarczyć jedną sfałszowaną odpowiedź NXDOMAIN dla nazwy wewnątrz wyspy, z NSEC/SOA RRSIG 'SignerName' ustawionym na niezabezpieczonego rodzica, oszukuje walidator Unbound, aby użył głównego trust anchor, a następnie niezabezpieczonego rodzica, powodując, że rekord jest traktowany jako niezabezpieczony i odmawia istnienia rekordów w wyspie zaufania.
- CVE-2026-109125Średnie
W NLnet Labs Unbound do wersji 1.26.1 włącznie występuje obserwowalny kanał boczny na poziomie pamięci podręcznej przy konfiguracji 'unwanted-reply-threshold > 0' (nie jest to konfiguracja domyślna). Gdy pakiet UDP przypominający odpowiedź trafi na port źródłowy używany przez zapytanie rekurencyjne, ale jego TXID nie pasuje do żadnego oczekującego zapytania, Unbound zlicza go jako niechcianą odpowiedź i po osiągnięciu progu czyści pamięć podręczną RRset i wiadomości, co pozwala zewnętrznemu obserwatorowi rozróżnić, czy kandydat na port pasuje do bieżącego portu źródłowego.
- CVE-2026-85501Średnie
NLnet Labs Unbound do wersji 1.26.0 jest podatny na ataki typu algorithmic complexity (znane jako 'ReTrap'), które powodują degradację usługi. Ataki obejmują TagTrap (duża liczba niedopasowanych rekordów DNSKEY, RRSIG, DS), DelegationTrap (kosztowna iteracyjna walidacja dla głęboko zagnieżdżonych domen), NsecTrap (nadmiarowe nieprawidłowe rekordy NSEC) oraz AdditionalTrap (domyślna walidacja sekcji ADDITIONAL).
- CVE-2026-82720Średnie
NLnet Labs Unbound od wersji 1.12.0 do 1.26.0 ma podatność use-after-free, gdy jest skompilowany z obsługą DNS-over-HTTPS (--with-libnghttp2). W ścieżkach błędów (np. RPZ drop, jostle) porzucony strumień DoH powoduje awarię całej sesji DoH i nie uwzględnia innych strumieni, prowadząc do use-after-free. Atakujący może to wywołać pojedynczym połączeniem DoH, ale wpływ jest ograniczony, ponieważ odczyty nie są kontrolowane przez użytkownika; jednak zahartowany alokator może wykryć błąd i kontrolowanie zakończyć proces, powodując DoS.
- CVE-2026-80225Średnie
W NLnet Labs Unbound do wersji 1.26.0 występuje podatność na degradację usługi w procedurze odczytu TCP/DoT, gdzie nie ma limitu kolejnych odczytów. Złośliwy aktor, który może przesyłać strumieniowo i utrzymywać tempo odrębnych niebuforowanych nazw przez połączenie TCP/DoT, monopolizuje całą pętlę zdarzeń pojedynczego pracownika, dopóki jego zapisy wyprzedzają opróżnianie.
Oryginalny opis (angielski, źródło NVD)
In NLnet Labs Unbound 1.4.22 up to and including 1.25.1, UDP source port is randomized and intended to serve as a secret value that increases the entropy of DNS transactions. When resolver load balancing policies depend on the source port while their outcome is revealed this secrecy is undermined. The vulnerability arises when the load balancing policy is consistent with respect to the incoming source UDP port and IP address while heavily depending on the incoming source UDP port as a randomization source. When the SO_REUSEPORT configuration option is enabled ('so-reuseport: yes') in Unbound (by default), it meets these conditions, making it vulnerable for DNS cache poisoning attacks. Upon startup, Unbound randomly partitions the available UDP source port space into disjoint subsets of (almost) equal size, assigning each subset to a specific worker thread. When an incoming DNS query is received, the kernel’s SO_REUSEPORT load balancing mechanism deterministically assigns the query to a socket associated with a particular thread. All outgoing DNS queries generated during the resolution of that request use source ports selected exclusively from the port subset assigned to the corresponding thread. Since these port subsets are disjoint across threads, the source port observed in a resolver’s outgoing query to an authoritative name server serves as a reliable indicator of the worker thread that processed the original client query. A malicious actor can acquire the mapping between incoming UDP source ports (for a given fixed source IP address) and Unbound worker threads and leverage it to conduct DNS cache poisoning attacks by effectively lowering the random port population per thread.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS