CVE-2026-78227

NLnet Labs Unbound 1.22.0 bis einschließlich 1.26.1 weist eine Use-after-free-Schwachstelle auf, wenn es mit Unterstützung für DNS-over-QUIC und '--with-libngtcp2' kompiliert wird. Jeder DoQ-Stream besitzt einen Ausgabepuffer, der die DNS-Antwort enthält. Der Retransmission-Puffer von ngtcp2 behält einen flachen Zeiger in den Ausgabepuffer, solange ein STREAM-Frame erneut gesendet werden kann. Bei einem RESET_STREAM durch den Client wird der Ausgabepuffer freigegeben, ngtcp2 hält jedoch weiterhin die zugehörigen Retransmission-Einträge. Beim nächsten PTO-Timeout lässt ngtcp2 den STREAM-Frame erneut kodieren und aus dem freigegebenen Puffer kopieren. Ein böswilliger Akteur, der Unbound über DoQ abfragen kann, ACKs zurückhält, RESET_STREAM sendet und auf PTO wartet, erreicht diese Use-after-free-Schwachstelle ohne Privilegien. Dies führt zu Retransmissions auf freigegebenen Speicher und schließlich zu einem abnormalen Serverende bei einem 20-Query-Spray.