Unbound łata krytyczny błąd DNSSEC

Krytyczna poprawka w Unbound

Twórcy Unbound opublikowali wersję 1.26.1, która usuwa poważny błąd w walidatorze DNSSEC. Luka oznaczona jako CVE-2026-81642 może doprowadzić do denial of service, a w sprzyjających warunkach także do remote code execution.

Problem dotyczy wszystkich wydań do 1.26.0 włącznie. To ważne, bo Unbound jest często używany jako resolver DNS w infrastrukturze serwerowej i wewnętrznych systemach sieciowych.

Jak działa podatność

Błąd pojawia się podczas przetwarzania rekordu DNSKEY w walidatorze DNSSEC. W praktyce chodzi o sytuację, w której kod może doprowadzić do heap overflow przy obsłudze danych pochodzących z odpowiedzi DNS.

Atak wymaga, by napastnik:

• kontrolował złośliwą strefę DNS,
• oraz skłonił podatny resolver do jej odpytania.

To oznacza, że zagrożone mogą być zwłaszcza te instancje, które obsługują ruch z mniej zaufanych sieci albo przetwarzają zapytania dla użytkowników zewnętrznych.

Skala ryzyka

Producent przypisał luce ocenę CVSS 9.1, wskazując, że atak może zostać przeprowadzony zdalnie, bez uprawnień i bez udziału użytkownika. W chwili publikacji nie potwierdzono jednak aktywnej eksploatacji w realnych atakach.

Dla porządku warto dodać, że CISA nie klasyfikowała tej podatności jako wykorzystywanej w praktyce, a w bazie NVD pozostawała ona jeszcze w statusie oczekującym na analizę.

Co jeszcze naprawiono w wersji 1.26.1

Aktualizacja nie ogranicza się do jednej poprawki. Wydanie Unbound 1.26.1 zawiera łącznie dziewięć napraw bezpieczeństwa. Wśród nich znalazły się także m.in.:

• CVE-2026-82717 – uszkodzenie pamięci typu heap corruption przy syntezie CNAME,
• CVE-2026-81634 – inny błąd heap overflow związany z przetwarzaniem DNSSEC,
• oraz kilka podatności prowadzących do DoS albo degradacji działania resolvera.

Jedna z poprawek zmienia też domyślne zachowanie programu: opcja val-clean-additional została ustawiona na off, przez co Unbound domyślnie nie waliduje już danych DNSSEC w sekcji additional odpowiedzi.

Co zrobić teraz

Najbezpieczniejszym krokiem jest jak najszybsza aktualizacja do Unbound 1.26.1.

Jeśli nie da się od razu wdrożyć nowej wersji, można zastosować oficjalny patch dla CVE-2026-81642 do drzewa źródeł, skompilować program ponownie i zaplanować pełną aktualizację w najbliższym możliwym oknie serwisowym.

Warto też sprawdzić, czy Unbound nie działa w mniej oczywistych miejscach, takich jak:

• appliance sieciowe,
• kontenery,
• pakiety dostarczane przez dystrybucje Linuksa.

W takich środowiskach łatwo przeoczyć realnie zainstalowaną wersję i opóźnić wdrożenie poprawki.