Unbound-DNSSEC-Heap-Overflow bringt anfällige Resolver in Gefahr, dass Remote Code Execution möglich wird

NLnet Labs hat eine kritische Schwachstelle zur Speicherbeschädigung in Unbound behoben, die über eine manipulierte DNS-Zone ausgelöst werden kann. Die Schwachstelle betrifft jede Unbound-Version vor 1.26.1 und kann auf einem anfälligen Resolver eine Denial-of-Service-Attacke oder Remote Code Execution ermöglichen.

Die unter CVE-2026-81642 geführte Schwachstelle erreicht einen CVSS-4.0-Wert von 9,1 und ist gemäß CWE-122 als Heap-basierter Buffer Overflow klassifiziert. Der Datensatz des CVE Program wurde am 16. September 2026 veröffentlicht und aktualisiert.

Unbound 1.26.1 enthält die Korrektur. Außerdem werden acht weitere CVEs behoben, darunter eine separate Schwachstelle zur Heap-Beschädigung, die in bestimmten Umgebungen die Codeausführung ermöglichen kann.

Manipulierter DNSKEY-Record kann den Heap-Speicher beschädigen

CVE-2026-81642 befindet sich im DNSSEC-Validator von Unbound, der für die Authentifizierung von DNS-Daten mithilfe kryptografischer Signaturen und Vertrauensketten zuständig ist.

Die anfällige Bedingung tritt ein, wenn Unbound einen speziell konstruierten DNSKEY-Record verarbeitet. Dessen Owner Name enthält einen DNS-Kompressionszeiger, der in die RDATA desselben Records weist, statt auf eine gültige externe Position. Beim Verarbeiten dieser fehlerhaften Struktur kann der Validator über den zugewiesenen Heap-Puffer hinaus schreiben.

Der Angreifer benötigt die Kontrolle über eine manipulierte DNS-Zone sowie eine Möglichkeit, den Ziel-Resolver von Unbound dazu zu bringen, diese Zone abzufragen. Der Angriff ist über das Netzwerk erreichbar und erfordert weder Zugangsdaten noch eine Interaktion des Benutzers.

Ein erfolgreicher Angriff kann den Resolver zum Absturz bringen und dadurch einen Denial of Service verursachen. Da der überschriebenen Speicherbereich vom Angreifer kontrollierte Daten enthält, gilt auch Remote Code Execution als möglich. Der vollständige von NLnet Labs vergebene CVSS-4.0-Vektor lautet:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:U/U:Red

Der im maßgeblichen CVE-Program-Datensatz angegebene betroffene Bereich umfasst Unbound ab Version 0 bis zu allen Versionen vor 1.26.1. Dazu gehören 1.25.2 und 1.26.0, das am 4. August veröffentlicht wurde.

Ein Upgrade auf 1.25.1 reicht nicht aus. In dieser Version wurde CVE-2026-33278 behoben, eine andere kritische Schwachstelle im DNSSEC-Validator. CVE-2026-81642 war dagegen bis einschließlich 1.26.0 weiterhin vorhanden.

Keine Ausnutzung gemeldet

NLnet Labs hat keine Angriffe gemeldet, bei denen CVE-2026-81642 ausgenutzt wurde. Auch die verfügbaren CISA-Daten stuften den Ausnutzungsstatus als „none“ ein. Es wurde nicht bestätigt, dass die Schwachstelle im Katalog der Known Exploited Vulnerabilities der CISA enthalten ist, und es ist keine KEV-Frist für die Behebung bekannt.

Ebenso liegen keine gemeldeten Ausnutzungsindikatoren vor, nach denen Administratoren suchen könnten. Für die Reaktion auf Sicherheitsvorfälle bleiben daher herkömmliche Resolver-Telemetriedaten relevant, darunter ungeklärte Abstürze, Neustarts, Fehler durch Speicherbeschädigung und verdächtige Abfolgen von Abfragen an unbekannte Zonen.

Das Fehlen bekannter Ausnutzung verringert die technischen Auswirkungen nicht. Ein Resolver kann während der normalen DNS-Auflösung von Angreifern kontrollierte autoritative Infrastruktur kontaktieren, und die Schwachstelle lässt sich ohne authentifizierte Verbindung zum Unbound-Dienst erreichen.

Yuqi Qiu meldete die Schwachstelle gemeinsam mit Xiang Li vom AOSP Lab der Nankai University am 11. August an NLnet Labs. NLnet Labs stellte am folgenden Tag einen Patch bereit, den der Melder am 13. August verifizierte. Beide Forscher werden als Entdecker genannt.

Version 1.26.1 schließt neun Sicherheitslücken

CVE-2026-81642 ist die schwerwiegendste von neun Schwachstellen, die in Unbound 1.26.1 behoben wurden. Bei mehreren weiteren Schwachstellen sind bestimmte Build-Flags, Protokoll-Listener oder Resolver-Konfigurationen erforderlich.

Die zweite Schwachstelle zur Speichersicherheit ist CVE-2026-82717, eine schwerwiegende Heap-Korruptionsschwachstelle, die während der CNAME-Synthese in einer Upstream-Antwort ausgelöst wird. Sie betrifft Versionen bis einschließlich 1.26.0 und kann einen Denial of Service verursachen. Auf bestimmten Systemen und bei bestimmten Kompilierungsoptionen ist möglicherweise auch Codeausführung möglich. Eine Ausnutzung wurde nicht gemeldet.

Die übrigen Korrekturen sind:

• CVE-2026-81634 mit einem Wert von 7,5 kann Versionen bis einschließlich 1.26.0 zum Absturz bringen, wenn ein 255 Zeichen langer Abfragename mit einer großen TCP-Antwort von einem manipulierten Nameserver oder einer manipulierten Antwort kombiniert wird.
• CVE-2026-77955 mit einem Wert von 4,4 betrifft Versionen von 1.13.2 bis einschließlich 1.26.0, wenn zonemd-check: yes unterhalb eines Trust Anchors, nicht jedoch auf dessen Ebene, konfiguriert ist. Die Schwachstelle kann einen Denial of Service verursachen und kurzzeitig dazu führen, dass manipulierte Zonendaten ausgeliefert werden, bevor die ZONEMD-Prüfung erfolgt.
• CVE-2026-78227 mit einem Wert von 6,5 betrifft Versionen von 1.22.0 bis einschließlich 1.26.0, die mit --with-libngtcp2 erstellt und mit quic-port konfiguriert wurden. Als Auswirkung wird ein Denial of Service angegeben.
• CVE-2026-80225 ermöglicht eine Beeinträchtigung des Dienstes durch einen anhaltenden Strom unterschiedlicher, nicht im Cache gespeicherter Namen, die über eine einzelne TCP- oder DNS-over-TLS-Verbindung gesendet werden.
• CVE-2026-82720 mit einem Wert von 5,9 betrifft Versionen von 1.12.0 bis einschließlich 1.26.0, die mit --with-libnghttp2 erstellt und mit https-port konfiguriert wurden. Die Schwachstelle kann einen begrenzten Denial of Service verursachen.
• CVE-2026-85501 mit einem Wert von 5,3 betrifft Techniken zur algorithmischen Komplexität von ReTrap, darunter TagTrap, DelegationTrap, NsecTrap und AdditionalTrap. Manipulierte Zonen können diese Techniken nutzen, um die Leistung des Resolvers zu beeinträchtigen.
• CVE-2026-77860 ist eine Schwachstelle mit geringer Auswirkung, die Versionen von 1.20.0 bis einschließlich 1.26.0 betrifft. Der Pfad serve-expired kann eine Gegenmaßnahme gegen DNSBomb umgehen und zu einem pulsierenden Denial-of-Service-Verstärkungsangriff beitragen.

Im Rahmen der Behebung von ReTrap deaktiviert Unbound val-clean-additional nun standardmäßig. Daher werden DNSSEC-Daten im Additional-Abschnitt einer Antwort standardmäßig nicht mehr validiert.

Upgrade durchführen oder Hersteller-Patches anwenden

Administratoren sollten Unbound 1.26.1 installieren, statt sich auf Änderungen an der Konfiguration zu verlassen. NLnet Labs stellt für die korrigierte Version Quellcode, Prüfsummen, eine PGP-Signatur, Windows-Installationsprogramme und Windows-Binärdateien bereit.

Betreiber, die nicht sofort aktualisieren können, können einen Patch auf den Quellcode anwenden. Verfügbar sind unter anderem minimale und vollständige Patches für CVE-2026-81642 sowie kombinierte Patches, die alle neun Schwachstellen abdecken. Eine beispielhafte Installationsfolge lautet:

patch -p1 < patch_CVE-2026-81642_with.diff
make install

NLnet Labs hat die eigenständigen Patches für CVE-2026-81642 und CVE-2026-82717 gegen Unbound 1.26.0 getestet. Die Kompatibilität mit anderen Versionszweigen wurde nicht angegeben.

Die Deaktivierung der DNSSEC-Validierung sollte nicht als bestätigte Umgehungslösung betrachtet werden. Es gibt keine bestätigte Herstellerangabe dafür, dass diese Konfigurationsänderung den anfälligen Codepfad zuverlässig verhindert. Als dokumentierte Maßnahmen gelten ein Upgrade oder das Anwenden eines Patches.

Distributionspakete können hinter dem Upstream zurückbleiben

Dass ein Upstream-Fix verfügbar ist, bedeutet nicht, dass er bereits in jedem Betriebssystem-Repository enthalten ist. Debian führte unbound 1.26.1-1 am Donnerstag in unstable als behoben, während bookworm, trixie und forky weiterhin als anfällig markiert waren.

Administratoren sollten die tatsächlich auf jedem Resolver installierte Paketversion prüfen, statt sich ausschließlich auf den Status routinemäßiger Updates zu verlassen. Die Bestandsaufnahme sollte außerdem Appliances, eingebettete Deployments, Container und DNS-Dienste umfassen, die außerhalb der standardmäßigen Betriebssystem-Repositorys gepflegt werden.

Build- und Laufzeiteinstellungen müssen separat überprüft werden. Deployments mit --with-libngtcp2, --with-libnghttp2, quic-port, https-port, zonemd-check oder serve-expired sind weiteren Schwachstellen ausgesetzt, die in derselben Version behoben wurden.

Rekursive Resolver mit Internetzugriff und Systeme, die von nicht vertrauenswürdigen Benutzern beeinflusste Abfragen verarbeiten, sollten priorisiert werden. Nach dem Patchen sollten Betreiber bestätigen, dass der laufende Daemon – nicht nur die Paketdatenbank – Version 1.26.1 oder einen entsprechend gepatchten Build meldet.