CVE-2026-55973
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność w NLnet Labs Unbound (wersje 1.23.0 do 1.25.1) z włączoną opcją 'dns-error-reporting: yes' pozwala atakującemu na zdalne zatrzymanie demona przez wysłanie spreparowanej odpowiedzi upstream. Błąd występuje przy przetwarzaniu opcji EDNS Report-Channel.
Ocena ryzyka
Atak może spowodować awarię serwera DNS (denial of service), co zakłóci działanie usług sieciowych.
Rekomendacja
Wyłącz opcję 'dns-error-reporting' lub zaktualizuj Unbound do wersji zawierającej poprawkę.
Inne podatności w NLnet Labs Unbound
Zobacz wszystkie- CVE-2026-82717Krytyczne
W NLnet Labs Unbound do wersji 1.26.0 włącznie, znaleziono podatność, która może stopniowo uszkadzać pamięć sterty i w pewnych systemach oraz opcjach kompilacji może prowadzić do zdalnego wykonania kodu. Podatność zaczyna się, gdy synteza CNAME podczas odpowiedzi z górnego poziomu wymaga wymuszenia (przepisania) maksymalnej wartości TTL w buforze pakietu. W połączeniu ze wskaźnikiem kompresji wskazującym na nadpisaną wartość i unieważniającym nazwę domeny, prowadzi to do ścieżki błędu, która nie przesuwa prawidłowo pozycji bufora i umożliwia przepełnienie bufora sterty.
- CVE-2026-35501Niskie
Gdy NLnet Labs Unbound w wersji od 1.0.1 do 1.26.1 jest skonfigurowany zarówno z głównym zaufanym kotwicą, jak i dodatkowym 'trust-anchor:' dla strefy wyspy bezpieczeństwa, której rodzic jest udowodniony jako niezabezpieczony w łańcuchu głównym, złośliwy aktor z sfałszowaną odpowiedzią NSEC z wyczyszczonym bitem SOA może oszukać Unbound, aby uznał skonfigurowaną wyspę zaufania za niezabezpieczoną. Dzieje się tak, ponieważ walidator DNSSEC w Unbound akceptuje i buforuje niezabezpieczoną odpowiedź NSEC, pomijając walidację RRSIG, którą walidator powinien wykonać. Akceptacja rekordu NSEC na szczycie kotwicy zaufania była dozwolona z powodu starej poprawki dla zapytań typu DS i NSEC od klientów, gdy kotwica zaufania dla tej nazwy istniała.
- CVE-2026-81634Wysokie
W NLnet Labs Unbound do wersji 1.26.0 włącznie, nazwa zapytania o długości 255 z dużą odpowiedzią TCP może prowadzić do przepełnienia bufora sterty podczas procedury kanonizacji RRSet. Jest to spowodowane brakiem dodania pierwszej nazwy właściciela do kontroli długości bufora. Złośliwy aktor obsługujący złośliwy serwer nazw lub modyfikujący przychodzącą odpowiedź do Unbound (kanonizacja odbywa się przed walidacją DNSSEC) może wywołać podatność.
Oryginalny opis (angielski, źródło NVD)
In NLnet Labs Unbound 1.23.0 up to and including 1.25.1, when 'dns-error-reporting: yes' is set, the EDNS Report-Channel option (code 18) from the last upstream response is read and uses the option's length as the length of the agent domain. When a domain name check is performed on the agent domain, the returned lenght is not used and if the agent domain is followed by garbage, those bytes are moved onto the tail of the synthetic '_er.' report query name. That query name is later used in the iterator via a subquery to send out the DNS Error Report and when Unbound tries to walk that query name during 'find_closest_of_type()', it strips labels using the query name length rather than stopping at the embedded root, walks one byte past it, and feeds the first garbage byte to 'dname_query_hash()' as a label length writing over the stack variable 'labuf'. One ordinary upstream response from a delegated zone the attacker controls is sufficient to terminate the daemon.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS