CVE-2026-77955
ŚrednieCVSS 4.4Streszczenie
W NLnet Labs Unbound od wersji 1.13.2 do 1.26.1, w strefach z włączonym ZONEMD (zonemd-check: yes) znajdujących się poniżej kotwicy zaufania, istnieje okno ataku, w którym (sfałszowane) zawartości strefy są serwowane (lub zapisywane na dysk) przed zakończeniem kontroli integralności ZONEMD. Jest to spowodowane asynchroniczną rozwiązywaniem DS/DNSKEY, które musi nastąpić przed kontrolą ZONEMD. Jeśli plik strefy jest zapisany na dysk podczas nieudanej kontroli, sfałszowane dane są ponownie ładowane przy starcie i dostępne do czasu zakończenia weryfikacji ZONEMD.
Ocena ryzyka
Atakujący może dostarczyć sfałszowane dane strefy klientom lub zapisać je na dysku, co może prowadzić do zatrucia pamięci podręcznej lub trwałego przechowywania nieprawidłowych danych.
Rekomendacja
Zaktualizuj Unbound do wersji nowszej niż 1.26.1, jeśli dostępna. Rozważ wyłączenie zapisu plików strefy na dysk (zonefile) lub monitorowanie integralności stref.
Inne podatności w Unbound
Zobacz wszystkie- CVE-2026-85501Średnie
NLnet Labs Unbound do wersji 1.26.0 jest podatny na ataki typu algorithmic complexity (znane jako 'ReTrap'), które powodują degradację usługi. Ataki obejmują TagTrap (duża liczba niedopasowanych rekordów DNSKEY, RRSIG, DS), DelegationTrap (kosztowna iteracyjna walidacja dla głęboko zagnieżdżonych domen), NsecTrap (nadmiarowe nieprawidłowe rekordy NSEC) oraz AdditionalTrap (domyślna walidacja sekcji ADDITIONAL).
- CVE-2026-82720Średnie
NLnet Labs Unbound od wersji 1.12.0 do 1.26.0 ma podatność use-after-free, gdy jest skompilowany z obsługą DNS-over-HTTPS (--with-libnghttp2). W ścieżkach błędów (np. RPZ drop, jostle) porzucony strumień DoH powoduje awarię całej sesji DoH i nie uwzględnia innych strumieni, prowadząc do use-after-free. Atakujący może to wywołać pojedynczym połączeniem DoH, ale wpływ jest ograniczony, ponieważ odczyty nie są kontrolowane przez użytkownika; jednak zahartowany alokator może wykryć błąd i kontrolowanie zakończyć proces, powodując DoS.
- CVE-2026-80225Średnie
W NLnet Labs Unbound do wersji 1.26.0 występuje podatność na degradację usługi w procedurze odczytu TCP/DoT, gdzie nie ma limitu kolejnych odczytów. Złośliwy aktor, który może przesyłać strumieniowo i utrzymywać tempo odrębnych niebuforowanych nazw przez połączenie TCP/DoT, monopolizuje całą pętlę zdarzeń pojedynczego pracownika, dopóki jego zapisy wyprzedzają opróżnianie.
- CVE-2026-78227Średnie
NLnet Labs Unbound od wersji 1.22.0 do 1.26.1 ma podatność use-after-free, gdy jest skompilowany z obsługą DNS-over-QUIC (--with-libngtcp2). Każdy strumień DoQ posiada bufor wyjściowy z odpowiedzią DNS, a bufor retransmisji ngtcp2 przechowuje płytki wskaźnik do tego bufora. Po RESET_STREAM od klienta bufor wyjściowy jest zwalniany, ale ngtcp2 nadal trzyma wpisy retransmisji, co prowadzi do użycia zwolnionej pamięci przy następnym PTO. Atakujący bez uprawnień może to osiągnąć, wysyłając zapytania DoQ, wstrzymując ACK, wysyłając RESET_STREAM i czekając na PTO, co prowadzi do nieprawidłowego zakończenia serwera.
- CVE-2026-77860Niskie
W NLnetLabs Unbound w wersjach od 1.20.0 do 1.26.0 występuje podatność na ścieżce kodu 'serve-expired', która powoduje podwójne dekrementowanie licznika 'wait-limit' na adres IP klienta, co w praktyce omija jeden ze środków ochronnych wprowadzonych dla DNSBomb (CVE-2024-33655). Złośliwy atakujący może to wykorzystać, kontrolując autorytatywną strefę z krótkim TTL, aby wpisy w pamięci podręcznej szybko wygasały. Każde 'wolne' zapytanie, na które autorytatywny serwer atakującego nie odpowiada, jest następowane przez zapytanie o wygasły wpis w pamięci podręcznej, które jest natychmiast obsługiwane przez ścieżkę 'serve-expired' i dekrementuje licznik dwukrotnie. To drugie zapytanie nazwano 'pompą'. Naprzemiennie wysyłając wolne zapytania i pompy, atakujący utrzymuje licznik na poziomie lub poniżej skonfigurowanego 'wait-limit' w nieskończoność i może utrzymywać dowolną liczbę oczekujących zapytań z jednego adresu IP, aż do globalnego limitu mesh (num-queries-per-thread), ostatecznie omijając jeden ze środków ochronnych wprowadzonych dla DNSBomb (CVE-2024-33655).
- CVE-2026-81642Krytyczne
W NLnet Labs Unbound do wersji 1.26.0 włącznie znaleziono podatność w walidatorze DNSSEC, która umożliwia atak DoS i potencjalne zdalne wykonanie kodu przez przetwarzanie DNSKEY. Specjalnie spreparowany DNSKEY z wskaźnikiem kompresji właściciela może przepełnić bufor.
- CVE-2026-50252Krytyczne
W bibliotece Unbound od wersji 1.4.22 do 1.25.1 stwierdzono podatność na zatruwanie pamięci podręcznej DNS. Problem wynika z deterministycznego przypisywania zakresów portów UDP do wątków roboczych przy włączonej opcji SO_REUSEPORT, co umożliwia atakującemu przewidzenie portu źródłowego i obniżenie entropii transakcji DNS.
- CVE-2026-42960Krytyczne
NLnet Labs Unbound do wersji 1.25.0 włącznie jest podatny na zatruwanie pamięci podręcznej poprzez promiscuous rekordy w sekcji autorytatywnej. Atakujący może wstrzyknąć rekordy inne niż NS (np. MX) wraz z rekordami adresowymi, które Unbound buforuje, co prowadzi do zatrucia pamięci podręcznej. Wersja 1.25.1 zawiera poprawkę odrzucającą rekordy adresowe z sekcji dodatkowej, jeśli nie są one jawnie związane z rekordami NS.
- CVE-2026-33278Krytyczne
NLnet Labs Unbound od wersji 1.19.1 do 1.25.0 ma podatność w walidatorze DNSSEC polegającą na błędzie przypisania struktury podczas głębokiego kopiowania, co prowadzi do wiszącego wskaźnika i potencjalnego wykonania kodu.
- CVE-2026-56444Średnie
W Unbound od wersji 1.20.0 do 1.25.1, przy konfiguracji 'serve-expired: yes' i 'serve-expired-client-timeout > discard-timeout > 0', logika discard-timeout nieprawidłowo aktualizuje licznik odpowiedzi, co może doprowadzić do odrzucania nowych klientów i degradacji usługi. Atakujący może to wykorzystać, wysyłając zapytania do wolnej strefy autorytatywnej.
Oryginalny opis (angielski, źródło NVD)
In NLnet Labs Unbound 1.13.2 up to and including 1.26.1, a vulnerability in ZONEMD configured zones (zonemd-check: yes) which are located below (but not at) a trust anchor allow for an attack window where (tampered with) zone contents are served (or stored to disk) prior to the ZONEMD integrity check. This is caused by the needed DS/DNSKEY asynchronous resolution that needs to happen before the ZONEMD check completes. If a zonefile is written to disk (zonefile: option) while the ZONEMD check failed, the tampered data are reloaded on startup and available until ZONEMD verification concludes again. If verification fails, the data is not served any more but still persists on disk for future reloads.