CVE-2026-82717
In NLnet Labs Unbound bis einschließlich 1.26.0 wurde eine Schwachstelle gefunden, die den Heap-Speicher zunehmend beschädigen kann und unter bestimmten Systemen und Kompilierungsoptionen zur Ausführung von Code aus der Ferne führen könnte. Die Schwachstelle beginnt, wenn die CNAME-Synthese während einer Upstream-Antwort einen maximalen TTL-Wert im Paketpuffer erzwingen (umschreiben) muss. In Verbindung mit einem Komprimierungszeiger, der auf den überschriebenen Wert zeigt und den Domainnamen ungültig macht, führt dies zu einem Fehlerpfad, der die Pufferposition nicht ordnungsgemäß verschiebt und einen Heap-Pufferüberlauf ermöglicht. Da dies stark vom Layout des Heap-Speichers abhängt, ist das Ergebnis eine Speicherbeschädigung, die schließlich zu einem Absturz und unter bestimmten Systemen und Kompilierungsoptionen zur Ausführung von Code aus der Ferne führt.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| nlnetlabs | unbound | < 1.26.1 |
Verwandte Artikel
Ausgenutzte Cisco-ISE-Schwachstelle löst Angriffswelle auf vertrauenswürdige Softwarekanäle aus
CVE-2026-76460 in Cisco ISE wird aktiv ausgenutzt. Der Artikel erläutert Risiken, weitere RCE-Lücken und wichtige Schutzmaßnahmen.
Unbound-DNSSEC-Heap-Overflow bringt anfällige Resolver in Gefahr, dass Remote Code Execution möglich wird
Kritischer Heap-Overflow in Unbound vor 1.26.1: Manipulierter DNSKEY-Record ermöglicht DoS und RCE. Update auf 1.26.1 schließt neun Lücken.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.