Heap Overflow DNSSEC Unbound Boleh Membawa ke RCE

Heap Overflow DNSSEC Unbound Boleh Membawa ke RCE

Jika anda menjalankan Unbound sebagai recursive resolver, berhenti sekejap: semua versi sebelum 1.26.1 mempunyai heap overflow kritikal dalam validator DNSSEC. Yang menakutkan, penyerang tidak perlu dekat dengan server anda — dia hanya perlu mengawal satu DNS zone berniat jahat dan buat resolver anda menanya zone tersebut. NLnet Labs menilai kelemahan ini Critical dengan skor CVSS 4.0 sebanyak 9.1; impaknya denial of service dengan kemungkinan remote code execution melalui data yang dikawal penyerang.

Setakat ini belum ada bukti eksploitasi di alam liar — entri CVE-2026-81642 menandakan eksploitasi sebagai "none". Tapi ini betul-betul kelas pepijat yang menjadi buruan pwn2own: lubang dalam parser pada lapisan paling dipercayai dalam rangkaian anda, boleh dicetuskan oleh sesiapa yang mampu membuat anda resolve satu nama.

Sebenarnya apa itu overflow

Advisory menerangkannya dengan tepat: overflow berlaku semasa validator mencerna rekod DNSKEY yang owner name-nya adalah compression pointer ke dalam RDATA rekod itu sendiri.

DNS name compression ialah optimisasi lama dari RFC 1035 — nama domain dalam satu bahagian mesej boleh ditulis semula hanya sebagai pointer dua-bait ke nama yang sudah ditulis sebelumnya, menjimatkan bait dalam setiap response. Validator kemudian decompress dan mencerna rekod DNSKEY untuk membina chain of trust. Zone berniat jahat boleh menghasilkan DNSKEY yang owner name-nya menunjuk balik ke RDATA sendiri, dan buffer digest Unbound tidak mengawal kapasitinya dengan betul:

Diterjemah dari advisory: DNSKEY dengan owner compression pointer ke RDATA sendiri boleh melimpahkan digest buffer. Remote code execution boleh berlaku melalui data yang dikawal penyerang.

Maka "penyerang yang mengawal zon berniat jahat dan menanya Unbound yang terdedah" — itulah trigger yang diterangkan, dengan network vector dan tiada keperluan privilege mahupun interaksi pengguna. Pembetulan dalam 1.26.1 adalah bounds check yang betul: Unbound kini menyemak kapasiti buffer itu selepas decompression dan sebelum menulis.

Skop yang anda perlu tahu:

• Terjejas: setiap pelepasan sehingga dan termasuk 1.26.0. Termasuk 1.25.2 — pelepasan keselamatan Julai — dan 1.26.0 bertarikh 4 Ogos.
• Bukan pepijat ini: kelemahan Critical validator yang dibaiki NLnet pada Mei dahulu, CVE-2026-33278, ialah isu berbeza. Naik taraf ke 1.25.1 (yang membetulkan itu) tidak menutup yang ini.
• Siapa melapor: dijumpai Yuqi Qiu bersama Xiang Li dari AOSP Lab Nankai University, dilaporkan kepada NLnet Labs pada 11 Ogos. NLnet menghantar patch keesokan harinya, pelapor mengesahkannya pada 13 Ogos, dan pembetulan sampai lima minggu kemudian dalam kumpulan 1.26.1.

Sembilan pembetulan sekaligus

Unbound 1.26.1, dikeluarkan 16 September, bukan sahaja membetulkan overflow DNSKEY. Ia membawa sembilan pembetulan CVE sekaligus — kumpulan sebesar itu menandakan maintainers menguruskan coordinated disclosure. Dua yang wajar diberi perhatian:

• CVE-2026-82717 (High): heap corruption dalam CNAME synthesis semasa memproses upstream response, dilaporkan oleh Ben Morris dari Anthropic. Rewrite max-TTL digabung dengan compression pointer basi meninggalkan error path yang tidak menggerakkan kedudukan buffer — heap corruption progresif yang boleh menghempap server dan, pada sistem serta opsyen kompilasi tertentu, boleh membawa kepada remote code execution.
• CVE-2026-85501 (Medium): keluarga algorithmic-complexity ReTrap — TagTrap, DelegationTrap, NsecTrap, AdditionalTrap — yang membakar CPU resolver melalui output DNSSEC berniat jahat. Pembetulannya juga menukar satu default: val-clean-additional kini off, bermakna Unbound tidak lagi mengesahkan data DNSSEC dalam additional section sesuatu response mengikut default.

Selebihnya: query name sepanjang 255 dengan TCP response besar (CVE-2026-81634, High), tingkap bypass pengesahan ZONEMD (CVE-2026-77955), use-after-free DoQ pada reset re-transmission (CVE-2026-78227), degradasi TCP/DoT akibat query uncached yang berterusan (CVE-2026-80225), use-after-free DoH (CVE-2026-82720), dan bypass serve-expired terhadap countermeasure DNSBomb yang boleh mengambil bahagian dalam serangan amplification pulsating (CVE-2026-77860, Low).

Naik taraf atau patch

Pembetulan sampai sebagai sumber Unbound 1.26.1 dengan checksum dan tandatangan PGP, serta pemasang Windows dan binari. Untuk semua orang lain:

# Fastest path: check what you're running, then upgrade
unbound -V
# or, on Debian/Ubuntu
dpkg -l | grep -i unbound

# If you must stay on 1.26.0 for now, apply the stand-alone patch:
wget https://nlnetlabs.nl/downloads/unbound/patch_CVE-2026-81642_with.diff
patch -p1 < patch_CVE-2026-81642_with.diff
make install

# Or the minimal variant that touches only the vulnerable code path:
wget https://nlnetlabs.nl/downloads/unbound/patch_CVE-2026-81642.diff
patch -p1 < patch_CVE-2026-81642.diff
make install

Kedua-dua patch berasingan itu telah diuji NLnet Labs terhadap 1.26.0. Patch gabungan untuk kesemua sembilan pembetulan turut disediakan jika anda lebih suka apply sekali gus daripada rebuild penuh. Liputan distro sedang berjalan — tracker keselamatan Debian sudah menyenaraikan unbound 1.26.1-1 sebagai fixed dalam unstable, manakala bookworm, trixie dan forky masih disenaraikan vulnerable, jadi apt upgrade pada cawangan LTS akan ketinggalan dan perlu dipantau.

Dua nota operasi sementara versi berpatch merebak:

1. Kepercayaan ialah permukaan yang paling kritikal di sini. Recursive resolver berdiri di sempadan rangkaian — boleh dicapai dari dalam oleh setiap client dan dari luar oleh sesiapa yang boleh mengarang query. Kelemahan dalam kod pemprosesan zone dan validator bukan sekadar "pepijat resolver"; ia kelas risiko yang sama seperti rantaian kelemahan yang dijahit ke dalam artifact server yang dieksploitasi untuk menanam backdoor.
2. Perhatikan perubahan default. Jika anda bergantung pada val-clean-additional: yes untuk membersihkan rekod tambahan dari response, pembetulan ReTrap kini menetapkannya off mengikut default. Sahkan semula config anda jika anda mahukan kelakuan itu secara eksplisit.

Kesimpulan untuk pasukan operasi

Patch Unbound seperti anda mempatch router atau SSH daemon — kerana ia lapisan infrastruktur yang sama. Pepijat ini tidak memerlukan apa-apa selain resolver mangsa menyentuh zone bermusuhan: memburu SERVFAIL yang diracun, suapan zone transfer, atau sekadar resolve nama yang delegation chain-nya dikuasai penyerang. Itu menjadikan gambaran keselamatan DNS/rangkaian wajar diaudit semasa anda berada di sana: semak resolver mana yang menghadap internet, pastikan pengesahan DNSSEC benar-benar aktif (validator yang tidak validating tidak terdedah kepada ini — tetapi keluarga DoS ReTrap, dan keseluruhan alasan untuk mempunyai resolver, masih kekal), dan semak sama ada config anda melekatkan val-clean-additional secara eksplisit dan bukannya bergantung pada default yang baru sahaja bertukar.

Satu peringatan kritikal daripada sudut audit: pepijat Mei dahulu dan yang ini adalah CVE berbeza dengan pelepasan pembetulan berbeza. Bila anda menapis CVE-2026-81642 dalam scanner, jangan andaikan "Unbound terbaru" sudah dipatch — sahkan binarinya 1.26.1 atau lebih baru, bukan sekadar lebih baru daripada 1.25.0.

Sumber

• NLnet Labs: CVE-2026-81642 — Unbound DNSSEC validator heap overflow
• NLnet Labs: CVE-2026-82717 — Unbound CNAME synthesis heap corruption
• NLnet Labs GitHub: Nota pelepasan Unbound 1.26.1
• The Hacker News: Critical Unbound DNSSEC Validator Flaw Could Allow RCE via a Malicious DNS Zone