Unbound 1.26.1 łata krytyczną lukę w walidatorze DNSSEC, która pozwala wykonać kod

NLnet Labs wydało Unbound 1.26.1. Wersja łata krytyczne przepełnienie sterty w walidatorze DNSSEC, oznaczone jako CVE-2026-81642. Błąd dotyczy każdego wydania do 1.26.0 włącznie, także 1.25.2 z lipca i 1.26.0 z 4 sierpnia. Wystarczy, że napastnik kontroluje złośliwą strefę DNS i wyśle zapytanie do podatnego resolvera. Skutkiem jest odmowa usługi, a przy danych kontrolowanych przez atakującego także wykonanie kodu. Producent ocenia lukę na 9.1 w CVSS 4.0. NVD jeszcze jej nie przeanalizowało.

Wydanie poprawia też osiem innych błędów. Jeden z nich, CVE-2026-82717, to uszkodzenie sterty przy syntezie rekordów CNAME. Przy niektórych systemach i opcjach kompilacji on również może prowadzić do wykonania kodu. NLnet Labs nie zgłasza, żeby któraś z tych luk była wykorzystywana, a CISA oznaczyła wykorzystanie CVE-2026-81642 jako brak.

Jeśli utrzymujesz własny resolver na Unbound, potrzebujesz wersji 1.26.1. Jest dostępna jako kod źródłowy oraz instalatory i pliki binarne dla Windows. Aktualizacja 1.25.1 z maja łatała inny błąd, CVE-2026-33278, i tej luki nie usuwa. Producent nie podał, czy wyłączenie walidacji DNSSEC chroni resolver.