CVE-2026-77860
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W NLnetLabs Unbound w wersjach od 1.20.0 do 1.26.0 występuje podatność na ścieżce kodu 'serve-expired', która powoduje podwójne dekrementowanie licznika 'wait-limit' na adres IP klienta, co w praktyce omija jeden ze środków ochronnych wprowadzonych dla DNSBomb (CVE-2024-33655). Złośliwy atakujący może to wykorzystać, kontrolując autorytatywną strefę z krótkim TTL, aby wpisy w pamięci podręcznej szybko wygasały. Każde 'wolne' zapytanie, na które autorytatywny serwer atakującego nie odpowiada, jest następowane przez zapytanie o wygasły wpis w pamięci podręcznej, które jest natychmiast obsługiwane przez ścieżkę 'serve-expired' i dekrementuje licznik dwukrotnie. To drugie zapytanie nazwano 'pompą'. Naprzemiennie wysyłając wolne zapytania i pompy, atakujący utrzymuje licznik na poziomie lub poniżej skonfigurowanego 'wait-limit' w nieskończoność i może utrzymywać dowolną liczbę oczekujących zapytań z jednego adresu IP, aż do globalnego limitu mesh (num-queries-per-thread), ostatecznie omijając jeden ze środków ochronnych wprowadzonych dla DNSBomb (CVE-2024-33655).
Ocena ryzyka
Atakujący może przeciążyć serwer DNS, utrzymując dużą liczbę oczekujących zapytań, co może prowadzić do odmowy usługi (DoS) i naruszenia dostępności usług DNS.
Rekomendacja
Zaktualizuj Unbound do wersji nowszej niż 1.26.0, która zawiera poprawkę eliminującą podwójne dekrementowanie licznika.
Inne podatności w Unbound
Zobacz wszystkie- CVE-2026-81642Krytyczne
W NLnet Labs Unbound do wersji 1.26.0 włącznie znaleziono podatność w walidatorze DNSSEC, która umożliwia atak DoS i potencjalne zdalne wykonanie kodu przez przetwarzanie DNSKEY. Specjalnie spreparowany DNSKEY z wskaźnikiem kompresji właściciela może przepełnić bufor.
- CVE-2026-50252Krytyczne
W bibliotece Unbound od wersji 1.4.22 do 1.25.1 stwierdzono podatność na zatruwanie pamięci podręcznej DNS. Problem wynika z deterministycznego przypisywania zakresów portów UDP do wątków roboczych przy włączonej opcji SO_REUSEPORT, co umożliwia atakującemu przewidzenie portu źródłowego i obniżenie entropii transakcji DNS.
- CVE-2026-42960Krytyczne
NLnet Labs Unbound do wersji 1.25.0 włącznie jest podatny na zatruwanie pamięci podręcznej poprzez promiscuous rekordy w sekcji autorytatywnej. Atakujący może wstrzyknąć rekordy inne niż NS (np. MX) wraz z rekordami adresowymi, które Unbound buforuje, co prowadzi do zatrucia pamięci podręcznej. Wersja 1.25.1 zawiera poprawkę odrzucającą rekordy adresowe z sekcji dodatkowej, jeśli nie są one jawnie związane z rekordami NS.
- CVE-2026-33278Krytyczne
NLnet Labs Unbound od wersji 1.19.1 do 1.25.0 ma podatność w walidatorze DNSSEC polegającą na błędzie przypisania struktury podczas głębokiego kopiowania, co prowadzi do wiszącego wskaźnika i potencjalnego wykonania kodu.
- CVE-2026-97206Wysokie
NLnet Labs Unbound w wersjach od 1.22.0 do 1.26.1 zawiera błąd cyklu życia DNS-over-QUIC (DoQ) osiągalny przez zdalnego klienta DoQ w trybie wielowątkowym. Migracja ścieżki QUIC wywołana przez klienta może wejść w czyszczenie strumienia/połączenia, podczas gdy odpowiedź mesh nadal przechowuje wskaźnik do strumienia DoQ. Czyszczenie zwalnia strumień DoQ, a gdy oczekująca odpowiedź mesh później się kończy, następuje dereferencja nieaktualnego wskaźnika prowadząca do awarii.
- CVE-2026-96405Średnie
NLnet Labs Unbound do wersji 1.26.1 włącznie ogranicza przechodzenie wskaźników kompresji dla każdej pojedynczej operacji na nazwie domeny, ale nie ma zbiorczego budżetu na przetwarzanie dekompresji przychodzącej. Wiele łańcuchowych wskaźników kompresji w wiadomości powoduje duże zużycie CPU. Złośliwy aktor z dostępem do zapytań rekurencyjnych i kontrolą zwykle delegowanego autorytetu, który serwuje specjalnie spreparowane odpowiedzi, może wykorzystać podatność i pogorszyć ogólną wydajność Unbound.
- CVE-2026-50106Średnie
W NLnet Labs Unbound do wersji 1.26.1 włącznie, gdy skonfigurowano zarówno główny trust anchor, jak i dodatkowy 'trust-anchor:' dla strefy island-of-security, której rodzic jest udowodniony jako niezabezpieczony w łańcuchu głównym, złośliwy aktor mogący dostarczyć jedną sfałszowaną odpowiedź NXDOMAIN dla nazwy wewnątrz wyspy, z NSEC/SOA RRSIG 'SignerName' ustawionym na niezabezpieczonego rodzica, oszukuje walidator Unbound, aby użył głównego trust anchor, a następnie niezabezpieczonego rodzica, powodując, że rekord jest traktowany jako niezabezpieczony i odmawia istnienia rekordów w wyspie zaufania.
- CVE-2026-109125Średnie
W NLnet Labs Unbound do wersji 1.26.1 włącznie występuje obserwowalny kanał boczny na poziomie pamięci podręcznej przy konfiguracji 'unwanted-reply-threshold > 0' (nie jest to konfiguracja domyślna). Gdy pakiet UDP przypominający odpowiedź trafi na port źródłowy używany przez zapytanie rekurencyjne, ale jego TXID nie pasuje do żadnego oczekującego zapytania, Unbound zlicza go jako niechcianą odpowiedź i po osiągnięciu progu czyści pamięć podręczną RRset i wiadomości, co pozwala zewnętrznemu obserwatorowi rozróżnić, czy kandydat na port pasuje do bieżącego portu źródłowego.
- CVE-2026-85501Średnie
NLnet Labs Unbound do wersji 1.26.0 jest podatny na ataki typu algorithmic complexity (znane jako 'ReTrap'), które powodują degradację usługi. Ataki obejmują TagTrap (duża liczba niedopasowanych rekordów DNSKEY, RRSIG, DS), DelegationTrap (kosztowna iteracyjna walidacja dla głęboko zagnieżdżonych domen), NsecTrap (nadmiarowe nieprawidłowe rekordy NSEC) oraz AdditionalTrap (domyślna walidacja sekcji ADDITIONAL).
- CVE-2026-82720Średnie
NLnet Labs Unbound od wersji 1.12.0 do 1.26.0 ma podatność use-after-free, gdy jest skompilowany z obsługą DNS-over-HTTPS (--with-libnghttp2). W ścieżkach błędów (np. RPZ drop, jostle) porzucony strumień DoH powoduje awarię całej sesji DoH i nie uwzględnia innych strumieni, prowadząc do use-after-free. Atakujący może to wywołać pojedynczym połączeniem DoH, ale wpływ jest ograniczony, ponieważ odczyty nie są kontrolowane przez użytkownika; jednak zahartowany alokator może wykryć błąd i kontrolowanie zakończyć proces, powodując DoS.
Oryginalny opis (angielski, źródło NVD)
In NLnetLabs Unbound 1.20.0 up to and including 1.26.0, a vulnerability on the 'serve-expired' code path can cause a double decrement on the 'wait-limit' counter per client IP essentially bypassing one of the counter measures that was introduced for DNSBomb (CVE-2024-33655). A malicious actor can exploit this by controlling an authoritative zone with short TTL, so cached entries expire quickly. Each 'slow' query, one the attacker's authoritative never answers, is followed by one query for an expired cached name, which is answered immediately via the 'serve-expired' path and decrements the counter twice. This second query was named 'pump'. By alternating slow queries and pumps, the attacker keeps the per-client counter at or below the configured 'wait-limit' indefinitely, and can hold an arbitrary number of pending queries from a single source IP, up to the global mesh quota (num-queries-per-thread); eventually bypassing one of the counter measures introduced for DNSBomb (CVE-2024-33655). This vulnerability is present on the 'serve-expired' code path.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS