NLnet Labs hat Unbound 1.26.1 veröffentlicht, um neun Sicherheitslücken zu beheben, darunter eine kritische DNSSEC-Validierungsschwachstelle, die möglicherweise die Remote-Code-Ausführung erlauben könnte, wenn ein anfälliger Resolver Daten aus einer von Angreifern kontrollierten DNS-Zone verarbeitet.
Das schwerwiegendste Problem, das unter CVE-2026-81642 geführt wird, betrifft alle Unbound-Versionen bis einschließlich 1.26.0. Laut Hersteller handelt es sich bei der Schwachstelle um einen Heap-Overflow in der DNSSEC-Validierungslogik, der DNSKEY-Records und einen präparierten Kompressionszeiger betrifft. Ein Remote-Angreifer, der eine bösartige Zone kontrolliert, könnte den Zustand auslösen, indem er einen anfälligen Resolver dazu veranlasst, diese Zone abzufragen.
NLnet Labs stufte die Schwachstelle als kritisch ein und vergab einen CVSS-Score von 9,1. Zu den genannten Auswirkungen zählen Denial-of-Service und eine mögliche Codeausführung über vom Angreifer kontrollierte Daten. Zum Zeitpunkt der Veröffentlichung des Advisories hatten weder NLnet Labs noch CISA eine bekannte Ausnutzung gemeldet.
Das Update behebt außerdem CVE-2026-82717, ein schwerwiegendes Heap-Korruptionsproblem im Zusammenhang mit der CNAME-Synthese. NLnet Labs erklärte, dass diese Schwachstelle in bestimmten Umgebungen, abhängig von Betriebssystem und Kompilierungseinstellungen, ebenfalls die Codeausführung ermöglichen könnte.
Weitere Korrekturen in dieser Version
Unbound 1.26.1 enthält Patches für zusätzliche Denial-of-Service- und Dienstbeeinträchtigungsprobleme, die TCP, DNS-over-TLS, HTTP/2, QUIC, die ZONEMD-Validierung, die Verarbeitung abgelaufener Antworten sowie Angriffe auf die algorithmische Komplexität durch bösartige DNS-Zonen betreffen.
- CVE-2026-81634 behebt einen Denial-of-Service-Zustand im Zusammenhang mit langen Abfragenamen und großen TCP-Antworten.
- CVE-2026-80225 mindert Dienstbeeinträchtigungen, die durch anhaltende Anfragen nach unterschiedlichen, nicht zwischengespeicherten Namen über TCP oder DNS-over-TLS verursacht werden.
- CVE-2026-85501 behebt DNS-Komplexitätsangriffe im ReTrap-Stil, einschließlich der Varianten TagTrap und DelegationTrap.
- CVE-2026-77860 behebt einen Pfad für die Verarbeitung abgelaufener Antworten, der zu einer verstärkten, pulsierenden Denial-of-Service-Wirkung beitragen könnte.
Die Version ändert außerdem die Standardeinstellung für val-clean-additional und deaktiviert standardmäßig die DNSSEC-Validierung von Daten im Additional-Bereich von Antworten.
Empfohlene Maßnahme
Organisationen, die Unbound einsetzen, sollten so bald wie möglich auf Version 1.26.1 aktualisieren. NLnet Labs stellt Quellpakete, Signaturen, Prüfsummen, Windows-Binärdateien sowie eigenständige oder kombinierte Quellcode-Patches bereit. Administratoren, die nicht sofort aktualisieren können, können den vom Hersteller bereitgestellten Patch für CVE-2026-81642 anwenden. Ein Update auf die vollständige Version behebt jedoch alle neun gemeldeten Probleme.