CVE-2026-82720
ŚrednieCVSS 5.9Streszczenie
NLnet Labs Unbound od wersji 1.12.0 do 1.26.0 ma podatność use-after-free, gdy jest skompilowany z obsługą DNS-over-HTTPS (--with-libnghttp2). W ścieżkach błędów (np. RPZ drop, jostle) porzucony strumień DoH powoduje awarię całej sesji DoH i nie uwzględnia innych strumieni, prowadząc do use-after-free. Atakujący może to wywołać pojedynczym połączeniem DoH, ale wpływ jest ograniczony, ponieważ odczyty nie są kontrolowane przez użytkownika; jednak zahartowany alokator może wykryć błąd i kontrolowanie zakończyć proces, powodując DoS.
Ocena ryzyka
Atakujący może spowodować awarię procesu Unbound (DoS) przy spełnieniu warunków, takich jak możliwość RPZ drop lub duży ruch klienta.
Rekomendacja
Zaktualizuj Unbound do wersji nowszej niż 1.26.0, jeśli dostępna. Jeśli nie można zaktualizować, rozważ wyłączenie obsługi DoH lub ograniczenie ruchu.
Inne podatności w Unbound
Zobacz wszystkie- CVE-2026-85501Średnie
NLnet Labs Unbound do wersji 1.26.0 jest podatny na ataki typu algorithmic complexity (znane jako 'ReTrap'), które powodują degradację usługi. Ataki obejmują TagTrap (duża liczba niedopasowanych rekordów DNSKEY, RRSIG, DS), DelegationTrap (kosztowna iteracyjna walidacja dla głęboko zagnieżdżonych domen), NsecTrap (nadmiarowe nieprawidłowe rekordy NSEC) oraz AdditionalTrap (domyślna walidacja sekcji ADDITIONAL).
- CVE-2026-80225Średnie
W NLnet Labs Unbound do wersji 1.26.0 występuje podatność na degradację usługi w procedurze odczytu TCP/DoT, gdzie nie ma limitu kolejnych odczytów. Złośliwy aktor, który może przesyłać strumieniowo i utrzymywać tempo odrębnych niebuforowanych nazw przez połączenie TCP/DoT, monopolizuje całą pętlę zdarzeń pojedynczego pracownika, dopóki jego zapisy wyprzedzają opróżnianie.
- CVE-2026-78227Średnie
NLnet Labs Unbound od wersji 1.22.0 do 1.26.1 ma podatność use-after-free, gdy jest skompilowany z obsługą DNS-over-QUIC (--with-libngtcp2). Każdy strumień DoQ posiada bufor wyjściowy z odpowiedzią DNS, a bufor retransmisji ngtcp2 przechowuje płytki wskaźnik do tego bufora. Po RESET_STREAM od klienta bufor wyjściowy jest zwalniany, ale ngtcp2 nadal trzyma wpisy retransmisji, co prowadzi do użycia zwolnionej pamięci przy następnym PTO. Atakujący bez uprawnień może to osiągnąć, wysyłając zapytania DoQ, wstrzymując ACK, wysyłając RESET_STREAM i czekając na PTO, co prowadzi do nieprawidłowego zakończenia serwera.
- CVE-2026-77955Średnie
W NLnet Labs Unbound od wersji 1.13.2 do 1.26.1, w strefach z włączonym ZONEMD (zonemd-check: yes) znajdujących się poniżej kotwicy zaufania, istnieje okno ataku, w którym (sfałszowane) zawartości strefy są serwowane (lub zapisywane na dysk) przed zakończeniem kontroli integralności ZONEMD. Jest to spowodowane asynchroniczną rozwiązywaniem DS/DNSKEY, które musi nastąpić przed kontrolą ZONEMD. Jeśli plik strefy jest zapisany na dysk podczas nieudanej kontroli, sfałszowane dane są ponownie ładowane przy starcie i dostępne do czasu zakończenia weryfikacji ZONEMD.
- CVE-2026-77860Niskie
W NLnetLabs Unbound w wersjach od 1.20.0 do 1.26.0 występuje podatność na ścieżce kodu 'serve-expired', która powoduje podwójne dekrementowanie licznika 'wait-limit' na adres IP klienta, co w praktyce omija jeden ze środków ochronnych wprowadzonych dla DNSBomb (CVE-2024-33655). Złośliwy atakujący może to wykorzystać, kontrolując autorytatywną strefę z krótkim TTL, aby wpisy w pamięci podręcznej szybko wygasały. Każde 'wolne' zapytanie, na które autorytatywny serwer atakującego nie odpowiada, jest następowane przez zapytanie o wygasły wpis w pamięci podręcznej, które jest natychmiast obsługiwane przez ścieżkę 'serve-expired' i dekrementuje licznik dwukrotnie. To drugie zapytanie nazwano 'pompą'. Naprzemiennie wysyłając wolne zapytania i pompy, atakujący utrzymuje licznik na poziomie lub poniżej skonfigurowanego 'wait-limit' w nieskończoność i może utrzymywać dowolną liczbę oczekujących zapytań z jednego adresu IP, aż do globalnego limitu mesh (num-queries-per-thread), ostatecznie omijając jeden ze środków ochronnych wprowadzonych dla DNSBomb (CVE-2024-33655).
- CVE-2026-81642Krytyczne
W NLnet Labs Unbound do wersji 1.26.0 włącznie znaleziono podatność w walidatorze DNSSEC, która umożliwia atak DoS i potencjalne zdalne wykonanie kodu przez przetwarzanie DNSKEY. Specjalnie spreparowany DNSKEY z wskaźnikiem kompresji właściciela może przepełnić bufor.
- CVE-2026-50252Krytyczne
W bibliotece Unbound od wersji 1.4.22 do 1.25.1 stwierdzono podatność na zatruwanie pamięci podręcznej DNS. Problem wynika z deterministycznego przypisywania zakresów portów UDP do wątków roboczych przy włączonej opcji SO_REUSEPORT, co umożliwia atakującemu przewidzenie portu źródłowego i obniżenie entropii transakcji DNS.
- CVE-2026-42960Krytyczne
NLnet Labs Unbound do wersji 1.25.0 włącznie jest podatny na zatruwanie pamięci podręcznej poprzez promiscuous rekordy w sekcji autorytatywnej. Atakujący może wstrzyknąć rekordy inne niż NS (np. MX) wraz z rekordami adresowymi, które Unbound buforuje, co prowadzi do zatrucia pamięci podręcznej. Wersja 1.25.1 zawiera poprawkę odrzucającą rekordy adresowe z sekcji dodatkowej, jeśli nie są one jawnie związane z rekordami NS.
- CVE-2026-33278Krytyczne
NLnet Labs Unbound od wersji 1.19.1 do 1.25.0 ma podatność w walidatorze DNSSEC polegającą na błędzie przypisania struktury podczas głębokiego kopiowania, co prowadzi do wiszącego wskaźnika i potencjalnego wykonania kodu.
- CVE-2026-56444Średnie
W Unbound od wersji 1.20.0 do 1.25.1, przy konfiguracji 'serve-expired: yes' i 'serve-expired-client-timeout > discard-timeout > 0', logika discard-timeout nieprawidłowo aktualizuje licznik odpowiedzi, co może doprowadzić do odrzucania nowych klientów i degradacji usługi. Atakujący może to wykorzystać, wysyłając zapytania do wolnej strefy autorytatywnej.
Oryginalny opis (angielski, źródło NVD)
NLnet Labs Unbound 1.12.0 up to and including 1.26.0 has a use-after-free vulnerability when compiled for DNS-over-HTTPs support with '--with-libnghttp2'. During failure code paths (i.e., RPZ drop query, jostle due to heavy traffic), a dropped DoH stream brings down the whole DoH session and does not account properly for other DoH streams in the same session. This leads to use-after-free in those code paths. If the prerequisites are satisfied (possible RPZ drop or heavy client traffic), a malicious actor can trigger the vulnerability with a single DoH connection and the appropriate traffic. Impact is limited as the reads are not user controlled and the use-after-free leads to early returns. However, a hardened allocator can catch the use-after-free and controllably terminate the process resulting to denial of service.