NLnet Labs выпустила Unbound 1.26.1 с исправлением критической уязвимости DNSSEC-валидатора
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
NLnet Labs выпустила в среду Unbound 1.26.1, исправив критическое переполнение кучи в DNSSEC-валидаторе DNS-резолвера, отслеживаемое как CVE-2026-81642. Уязвимость затрагивает все версии до 1.26.1 и может позволить удалённое выполнение кода злоумышленником, контролирующим вредоносную DNS-зону. Обновление также устраняет восемь других уязвимостей, включая опасную ошибку синтеза CNAME, о которой сообщил Бен Моррис из Anthropic.
Ключевые факты
- CVE-2026-81642 — критическое переполнение кучи в DNSSEC-валидаторе Unbound, затрагивающее все версии до 1.26.0 включительно.
- Unbound 1.26.1, выпущенный в среду, исправляет CVE-2026-81642 и восемь других уязвимостей, включая CVE-2026-82717.
- NLnet Labs оценивает CVE-2026-81642 в 9,1 балла по CVSS и указывает сетевой вектор атаки без необходимости привилегий или взаимодействия с пользователем.
- Запись CISA для CVE-2026-81642 в среду помечала эксплуатацию как «none», и NLnet Labs не сообщала об эксплуатации ни одной из уязвимостей.
- Трекер безопасности Debian в четверг отметил unbound 1.26.1-1 как исправленный в unstable, тогда как ветки bookworm, trixie и forky остаются уязвимыми.
Уязвимость
Переполнение кучи происходит, когда валидатор обрабатывает запись DNSKEY, имя владельца которой является указателем сжатия на собственные данные записи. Злоумышленник, контролирующий вредоносную зону и запрашивающий уязвимый резолвер, может вызвать срабатывание уязвимости, что позволяет удалённо выполнить код. NLnet Labs указывает воздействие как отказ в обслуживании с возможностью удалённого выполнения кода «через данные, контролируемые злоумышленником». Затронутый диапазон включает 1.25.2, выпуск безопасности от июля, и 1.26.0, выпущенный 4 августа. NLnet Labs не привязывает этот диапазон к каким-либо условиям конфигурации и не сообщила, доступен ли резолвер с отключённой проверкой DNSSEC.
Исправление и смягчение
Unbound 1.26.1 доступен в виде исходного кода с контрольными суммами и PGP-подписью, а также в виде установщиков и бинарных файлов для Windows. Для пользователей, которые не могут обновиться, NLnet Labs предоставляет минимальный и полный патчи только для CVE-2026-81642, применяемые командой patch -p1. Также доступен комбинированный патч для всех девяти исправлений, а также его минимальная версия. NLnet Labs сообщает, что отдельные патчи для CVE-2026-81642 и CVE-2026-82717 протестированы и работают на версии 1.26.0. Политика безопасности сопровождающего — патчить последнюю выпущенную версию.
Связанные уязвимости
CVE-2026-82717 — опасная ошибка повреждения кучи при синтезе CNAME, о которой сообщил Бен Моррис из Anthropic. Она также может привести к удалённому выполнению кода «при определённых системах и параметрах компиляции», по данным NLnet Labs. Критическая ошибка валидатора, исправленная в мае, CVE-2026-33278, является другой уязвимостью, и обновление 1.25.1, исправившее её, не устраняет CVE-2026-81642. NVD в среду пометила CVE-2026-81642 как «Awaiting Analysis», поэтому оценка 9,1 является собственной оценкой сопровождающего.
1 источник
Время · отставание