Критическая уязвимость в DNSSEC-валидаторе Unbound грозит удалённым выполнением кода

Разработчик DNS-резолвера Unbound, организация NLnet Labs, сообщила в бюллетене от среды, что все выпуски вплоть до 1.26.0 включительно содержат критическую уязвимость переполнения кучи в валидаторе DNSSEC. Атакующий, контролирующий вредоносную зону, может спровоцировать сбой, отправив запрос уязвимому резолверу, — вплоть до удалённого выполнения кода.

Ошибка, получившая идентификатор CVE-2026-81642, возникает при обработке записи DNSKEY, имя владельца которой представляет собой указатель сжатия, ведущий внутрь данных самой записи. NLnet Labs оценивает уязвимость как критическую с собственным баллом CVSS 9.1: сетевой вектор атаки не требует ни привилегий, ни действий пользователя. В NVD запись пока помечена как ожидающая анализа, а CISA в среду указала, что случаев эксплуатации не зафиксировано. Заявленное воздействие — отказ в обслуживании, а выполнение кода возможно «через контролируемые атакующим данные».

Выпуск 1.26.1, вышедший в тот же день, закрывает в общей сложности девять уязвимостей. Среди них — CVE-2026-82717, повреждение кучи при синтезе CNAME, о котором сообщил Бен Моррис из Anthropic; при определённых системах и параметрах компиляции она также может привести к RCE. Остальные дефекты варьируются от высоких до низких по степени опасности: среди них ошибка при обработке длинных имён с большими TCP-ответами, проблемы в сборках с libngtcp2 и libnghttp2, а также семейство алгоритмических атак ReTrap (TagTrap, DelegationTrap, NsecTrap, AdditionalTrap), приводящих к деградации сервиса.

Важно, что исправление ReTrap меняет поведение по умолчанию: параметр val-clean-additional теперь отключён, и Unbound больше не проверяет DNSSEC-данные в дополнительной секции ответа автоматически.

Уязвимости затронуты все версии до 1.26.0 включительно, включая июльский выпуск 1.25.2 и августовский 1.26.0. Отдельно отмечается, что закрытая в мае критическая ошибка валидатора (CVE-2026-33278) — это другой дефект, и обновление 1.25.1 не устраняет нынешнюю проблему.

Что делать

Unbound 1.26.1 доступен в виде исходников с контрольными суммами и PGP-подписью, а также в виде установщиков и бинарных файлов для Windows. Тем, кто не может обновиться немедленно, бюллетень предлагает применить минимальный или полный патч для CVE-2026-81642 через patch -p1 с последующим make install, либо накатить объединённый патч на все девять исправлений. В трекере безопасности Debian версия 1.26.1-1 в четверг помечена как исправленная в unstable, тогда как ветки bookworm, trixie и forky всё ещё числятся уязвимыми.

Об ошибке 11 августа сообщил Юйци Цю, обнаруживший её вместе с Сяном Ли в лаборатории AOSP Нанкайского университета. NLnet Labs передала патч на следующий день, автор подтвердил его 13 августа, а исправление вышло спустя пять недель в составе сборки 1.26.1.

Источник: The Hacker News