NLnet Labs ha rilasciato Unbound 1.26.1 per risolvere nove vulnerabilità di sicurezza, inclusa una falla critica nella validazione DNSSEC che potrebbe potenzialmente consentire l'esecuzione di codice remoto quando un resolver vulnerabile elabora dati provenienti da una zona DNS controllata da un attaccante.
Il problema più grave, identificato come CVE-2026-81642, interessa tutte le versioni di Unbound fino alla 1.26.0 inclusa. Secondo il fornitore, la vulnerabilità è un overflow dell'heap nella logica di validazione DNSSEC che coinvolge record DNSKEY e un puntatore di compressione appositamente predisposto. Un attaccante remoto che controlli una zona dannosa potrebbe attivare la condizione inducendo un resolver vulnerabile a interrogare tale zona.
NLnet Labs ha classificato la vulnerabilità come critica e le ha assegnato un punteggio CVSS di 9,1. L'impatto dichiarato include il denial of service e la possibile esecuzione di codice tramite dati controllati dall'attaccante. Al momento della pubblicazione dell'avviso, né NLnet Labs né CISA avevano segnalato casi noti di sfruttamento.
L'aggiornamento risolve anche CVE-2026-82717, un problema di corruzione dell'heap ad alta gravità associato alla sintesi CNAME. NLnet Labs ha dichiarato che questa falla potrebbe inoltre consentire l'esecuzione di codice in determinati ambienti, a seconda del sistema operativo e delle impostazioni di compilazione.
Altre correzioni nella versione
Unbound 1.26.1 include patch per ulteriori problemi di denial of service e degrado del servizio che interessano TCP, DNS-over-TLS, HTTP/2, QUIC, la validazione ZONEMD, la gestione serve-expired e attacchi di complessità algoritmica contro zone DNS dannose.
- CVE-2026-81634 risolve una condizione di denial of service che coinvolge nomi di query lunghi e risposte TCP di grandi dimensioni.
- CVE-2026-80225 mitiga il degrado del servizio causato da richieste sostenute di nomi distinti non presenti nella cache tramite TCP o DNS-over-TLS.
- CVE-2026-85501 risolve attacchi di complessità DNS in stile ReTrap, comprese le varianti TagTrap e DelegationTrap.
- CVE-2026-77860 corregge un percorso serve-expired che potrebbe contribuire all'amplificazione di attacchi di denial of service pulsanti.
La versione modifica inoltre l'impostazione predefinita di val-clean-additional, disabilitando per impostazione predefinita la validazione DNSSEC dei dati nella sezione aggiuntiva delle risposte.
Azione consigliata
Le organizzazioni che utilizzano Unbound dovrebbero effettuare l'aggiornamento alla versione 1.26.1 non appena possibile. NLnet Labs ha reso disponibili pacchetti sorgente, firme, checksum, binari per Windows e patch sorgente autonome o combinate. Gli amministratori impossibilitati ad aggiornare immediatamente possono applicare la patch fornita dal fornitore per CVE-2026-81642, sebbene l'aggiornamento alla versione completa risolva tutti e nove i problemi segnalati.