Критическая уязвимость в валидаторе DNSSEC Unbound позволяет выполнить код через вредоносную DNS-зону

Сопровождающий проекта Unbound — организация NLnet Labs — выпустила предупреждение о критической уязвимости в DNSSEC-валидаторе резолвера. Проблема затрагивает все релизы Unbound до версии 1.26.1 и связана с переполнением кучи (heap overflow). По оценке разработчиков, эксплуатация уязвимости потенциально позволяет злоумышленнику добиться удалённого выполнения кода (RCE).

Подробности

Уязвимость получила идентификатор CVE-2026-81642. Как указано в advisory, для её срабатывания атакующему достаточно контролировать вредоносную DNS-зону и инициировать запрос к уязвимому резолверу. Иными словами, эксплуатируемость зависит не от сетевой доступности самой службы резолвера извне, а от того, что в процессе валидации DNSSEC резолвер обработает специально сформированные данные подконтрольной злоумышленнику зоны. Именно на этом этапе происходит переполнение кучи, которое может привести к удалённому выполнению кода. Исправленная версия Unbound 1.26.1 выпущена в тот же день, что и публикация предупреждения. В этой версии устранена описанная проблема (CVE-2026-81642). Дополнительных технических деталей, равно как и информации о наличии эксплойта в открытом доступе, в исходном сообщении не приводится.

Что делать

Поскольку уязвимыми являются все выпуски Unbound ранее 1.26.1, владельцам инфраструктуры, использующей этот резолвер, следует как можно скорее обновиться до версии 1.26.1. Приоритет — высокий, учитывая критический характер проблемы и потенциальную возможность удалённого выполнения кода. До момента обновления рекомендуется ограничить возможность недоверенных сторон инициировать запросы к резолверу, а также проверить, не используются ли в конфигурации внешние DNS-зоны сомнительного происхождения. После обновления стоит убедиться, что фактически запущена именно исправленная версия, а не только установлен пакет. Итог: критическая уязвимость в DNSSEC-валидаторе Unbound затрагивает все версии до 1.26.1, поэтому своевременное обновление резолвера — ключевая мера защиты.

Источник: The Hacker News