CVE-2026-85501
ŚrednieCVSS 5.3Streszczenie
NLnet Labs Unbound do wersji 1.26.0 jest podatny na ataki typu algorithmic complexity (znane jako 'ReTrap'), które powodują degradację usługi. Ataki obejmują TagTrap (duża liczba niedopasowanych rekordów DNSKEY, RRSIG, DS), DelegationTrap (kosztowna iteracyjna walidacja dla głęboko zagnieżdżonych domen), NsecTrap (nadmiarowe nieprawidłowe rekordy NSEC) oraz AdditionalTrap (domyślna walidacja sekcji ADDITIONAL).
Ocena ryzyka
Złośliwe strefy mogą spowodować znaczne obciążenie procesora i degradację usługi, co prowadzi do spowolnienia lub odmowy usługi dla legalnych zapytań.
Rekomendacja
Zaktualizuj Unbound do wersji nowszej niż 1.26.0, jeśli dostępna. Rozważ ograniczenie walidacji DNSSEC dla sekcji ADDITIONAL i monitorowanie obciążenia.
Inne podatności w Unbound
Zobacz wszystkie- CVE-2026-82720Średnie
NLnet Labs Unbound od wersji 1.12.0 do 1.26.0 ma podatność use-after-free, gdy jest skompilowany z obsługą DNS-over-HTTPS (--with-libnghttp2). W ścieżkach błędów (np. RPZ drop, jostle) porzucony strumień DoH powoduje awarię całej sesji DoH i nie uwzględnia innych strumieni, prowadząc do use-after-free. Atakujący może to wywołać pojedynczym połączeniem DoH, ale wpływ jest ograniczony, ponieważ odczyty nie są kontrolowane przez użytkownika; jednak zahartowany alokator może wykryć błąd i kontrolowanie zakończyć proces, powodując DoS.
- CVE-2026-80225Średnie
W NLnet Labs Unbound do wersji 1.26.0 występuje podatność na degradację usługi w procedurze odczytu TCP/DoT, gdzie nie ma limitu kolejnych odczytów. Złośliwy aktor, który może przesyłać strumieniowo i utrzymywać tempo odrębnych niebuforowanych nazw przez połączenie TCP/DoT, monopolizuje całą pętlę zdarzeń pojedynczego pracownika, dopóki jego zapisy wyprzedzają opróżnianie.
- CVE-2026-78227Średnie
NLnet Labs Unbound od wersji 1.22.0 do 1.26.1 ma podatność use-after-free, gdy jest skompilowany z obsługą DNS-over-QUIC (--with-libngtcp2). Każdy strumień DoQ posiada bufor wyjściowy z odpowiedzią DNS, a bufor retransmisji ngtcp2 przechowuje płytki wskaźnik do tego bufora. Po RESET_STREAM od klienta bufor wyjściowy jest zwalniany, ale ngtcp2 nadal trzyma wpisy retransmisji, co prowadzi do użycia zwolnionej pamięci przy następnym PTO. Atakujący bez uprawnień może to osiągnąć, wysyłając zapytania DoQ, wstrzymując ACK, wysyłając RESET_STREAM i czekając na PTO, co prowadzi do nieprawidłowego zakończenia serwera.
- CVE-2026-77955Średnie
W NLnet Labs Unbound od wersji 1.13.2 do 1.26.1, w strefach z włączonym ZONEMD (zonemd-check: yes) znajdujących się poniżej kotwicy zaufania, istnieje okno ataku, w którym (sfałszowane) zawartości strefy są serwowane (lub zapisywane na dysk) przed zakończeniem kontroli integralności ZONEMD. Jest to spowodowane asynchroniczną rozwiązywaniem DS/DNSKEY, które musi nastąpić przed kontrolą ZONEMD. Jeśli plik strefy jest zapisany na dysk podczas nieudanej kontroli, sfałszowane dane są ponownie ładowane przy starcie i dostępne do czasu zakończenia weryfikacji ZONEMD.
- CVE-2026-77860Niskie
W NLnetLabs Unbound w wersjach od 1.20.0 do 1.26.0 występuje podatność na ścieżce kodu 'serve-expired', która powoduje podwójne dekrementowanie licznika 'wait-limit' na adres IP klienta, co w praktyce omija jeden ze środków ochronnych wprowadzonych dla DNSBomb (CVE-2024-33655). Złośliwy atakujący może to wykorzystać, kontrolując autorytatywną strefę z krótkim TTL, aby wpisy w pamięci podręcznej szybko wygasały. Każde 'wolne' zapytanie, na które autorytatywny serwer atakującego nie odpowiada, jest następowane przez zapytanie o wygasły wpis w pamięci podręcznej, które jest natychmiast obsługiwane przez ścieżkę 'serve-expired' i dekrementuje licznik dwukrotnie. To drugie zapytanie nazwano 'pompą'. Naprzemiennie wysyłając wolne zapytania i pompy, atakujący utrzymuje licznik na poziomie lub poniżej skonfigurowanego 'wait-limit' w nieskończoność i może utrzymywać dowolną liczbę oczekujących zapytań z jednego adresu IP, aż do globalnego limitu mesh (num-queries-per-thread), ostatecznie omijając jeden ze środków ochronnych wprowadzonych dla DNSBomb (CVE-2024-33655).
- CVE-2026-81642Krytyczne
W NLnet Labs Unbound do wersji 1.26.0 włącznie znaleziono podatność w walidatorze DNSSEC, która umożliwia atak DoS i potencjalne zdalne wykonanie kodu przez przetwarzanie DNSKEY. Specjalnie spreparowany DNSKEY z wskaźnikiem kompresji właściciela może przepełnić bufor.
- CVE-2026-50252Krytyczne
W bibliotece Unbound od wersji 1.4.22 do 1.25.1 stwierdzono podatność na zatruwanie pamięci podręcznej DNS. Problem wynika z deterministycznego przypisywania zakresów portów UDP do wątków roboczych przy włączonej opcji SO_REUSEPORT, co umożliwia atakującemu przewidzenie portu źródłowego i obniżenie entropii transakcji DNS.
- CVE-2026-42960Krytyczne
NLnet Labs Unbound do wersji 1.25.0 włącznie jest podatny na zatruwanie pamięci podręcznej poprzez promiscuous rekordy w sekcji autorytatywnej. Atakujący może wstrzyknąć rekordy inne niż NS (np. MX) wraz z rekordami adresowymi, które Unbound buforuje, co prowadzi do zatrucia pamięci podręcznej. Wersja 1.25.1 zawiera poprawkę odrzucającą rekordy adresowe z sekcji dodatkowej, jeśli nie są one jawnie związane z rekordami NS.
- CVE-2026-33278Krytyczne
NLnet Labs Unbound od wersji 1.19.1 do 1.25.0 ma podatność w walidatorze DNSSEC polegającą na błędzie przypisania struktury podczas głębokiego kopiowania, co prowadzi do wiszącego wskaźnika i potencjalnego wykonania kodu.
- CVE-2026-56444Średnie
W Unbound od wersji 1.20.0 do 1.25.1, przy konfiguracji 'serve-expired: yes' i 'serve-expired-client-timeout > discard-timeout > 0', logika discard-timeout nieprawidłowo aktualizuje licznik odpowiedzi, co może doprowadzić do odrzucania nowych klientów i degradacji usługi. Atakujący może to wykorzystać, wysyłając zapytania do wolnej strefy autorytatywnej.
Oryginalny opis (angielski, źródło NVD)
Novel vulnerabilities to launch algorithmic complexity attacks on DNSSEC have been researched under the term 'ReTrap'. These result in degradation of service when malicious zones are used to serve the algorithmic complexity vulnerabilities. NLnet Labs Unbound up to and including 1.26.0 is vulnerable to some of them. TagTrap, where the triple(Zone, Algo, KeyTag) matching mechanism introduces a significant attack vector when resolvers handle malicious responses containing numerous mismatched DNSKEY, RRSIG, and DS record. DelegationTrap, where constructing the chain-of-trust requires iterative validation of DNSKEY and DS records from the root zone downward. For deeply nested domains, this results in significant computational overhead. NsecTrap, where responses with excessive invalid NSEC records compel the resolver to validate each one. AdditionalTrap, where Unbound by default would try to DNSSEC validate the ADDITIONAL section as well. This can be exploited to waste validation resources by malicious users.