CVE-2026-82717

In NLnet Labs Unbound bis einschließlich 1.26.0 wurde eine Schwachstelle gefunden, die den Heap-Speicher zunehmend beschädigen kann und unter bestimmten Systemen und Kompilierungsoptionen zur Ausführung von Code aus der Ferne führen könnte. Die Schwachstelle beginnt, wenn die CNAME-Synthese während einer Upstream-Antwort einen maximalen TTL-Wert im Paketpuffer erzwingen (umschreiben) muss. In Verbindung mit einem Komprimierungszeiger, der auf den überschriebenen Wert zeigt und den Domainnamen ungültig macht, führt dies zu einem Fehlerpfad, der die Pufferposition nicht ordnungsgemäß verschiebt und einen Heap-Pufferüberlauf ermöglicht. Da dies stark vom Layout des Heap-Speichers abhängt, ist das Ergebnis eine Speicherbeschädigung, die schließlich zu einem Absturz und unter bestimmten Systemen und Kompilierungsoptionen zur Ausführung von Code aus der Ferne führt.