Todas as versões do resolvedor DNS (Sistema de Nomes de Domínio) Unbound anteriores à 1.26.1 apresentam um estouro de heap (memória) crítico em seu validador DNSSEC (Extensões de Segurança do Sistema de Nomes de Domínio), informou a mantenedora NLnet Labs em um comunicado de segurança nesta quarta-feira.
Um invasor que controle uma zona maliciosa e envie consultas a um resolvedor vulnerável pode acionar a falha, permitindo a execução remota de código (RCE).
O Unbound 1.26.1, lançado no mesmo dia, corrige o bug, registrado como CVE-2026-81642 (Vulnerabilidades e Exposições Comuns), junto com outras oito falhas. Uma das oito, CVE-2026-82717, é um bug de corrupção de heap na síntese de CNAME (Registro de Nome Canônico), relatado por Ben Morris, da Anthropic. Segundo a NLnet Labs, ela também pode levar à execução remota de código "em determinados sistemas e opções de compilação".
A NLnet Labs não relatou exploração de nenhum dos dois bugs, e a entrada da CISA (Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos) para o CVE-2026-81642 marcou a exploração como "nenhuma" nesta quarta-feira.
A NLnet Labs classifica a falha no DNSKEY como Crítica, com pontuação CVSS (Sistema Comum de Pontuação de Vulnerabilidades) 4.0 (9.1), e sua avaliação lista um vetor de ataque de rede que não requer privilégios nem interação do usuário. O NVD (Banco de Dados Nacional de Vulnerabilidades dos EUA) listou o CVE como "Aguardando Análise" na quarta-feira, de modo que o 9.1 é a própria pontuação da mantenedora.
O estouro ocorre enquanto o validador processa um registro DNSKEY cujo nome de proprietário é um ponteiro de compressão para os próprios dados do registro. O impacto listado pela NLnet Labs é negação de serviço, com possibilidade de execução remota de código "por meio de dados controlados pelo invasor".
Todas as versões até a 1.26.0, inclusive, são afetadas. Isso inclui a 1.25.2, a versão de segurança de julho, e a 1.26.0, lançada em 4 de agosto. O bug crítico no validador que a NLnet Labs corrigiu em maio, CVE-2026-33278, é uma falha diferente, e a atualização 1.25.1 que a corrigiu não corrige esta.
A NLnet Labs não associa nenhuma condição de configuração a esse intervalo de versões e não informou se um resolvedor com a validação DNSSEC desativada está vulnerável.
Atualize ou aplique patch
O Unbound 1.26.1 está disponível em código-fonte, com somas de verificação e assinatura PGP (Privacidade Muito Boa), além de instaladores e binários para Windows. Se não for possível atualizar, o comunicado oferece duas formas de aplicar patch na árvore de fontes:
- Aplicar o patch mínimo ou o patch completo apenas para o CVE-2026-81642 com o comando patch -p1, por exemplo patch -p1 < patch_CVE-2026-81642_with.diff, e em seguida executar make install.
- Aplicar o patch combinado com todas as nove correções. Também há uma versão mínima dele.
A NLnet Labs informa que os patches independentes para o CVE-2026-81642 e o CVE-2026-82717 foram testados e funcionam na versão 1.26.0. Sua política de segurança é corrigir a versão mais recente lançada.
O rastreador de segurança do Debian listou o pacote unbound 1.26.1-1 como corrigido no repositório unstable na quinta-feira, com os ramos bookworm, trixie e forky ainda listados como vulneráveis.
As nove correções
As notas de versão mencionam nove CVEs. A tabela apresenta o intervalo afetado e a condição de acionamento de cada um, segundo a descrição da NLnet Labs.
A correção do ReTrap também altera um padrão: a opção val-clean-additional agora vem desativada, de modo que o Unbound não valida mais os dados DNSSEC na seção adicional de uma resposta por padrão.
O bug foi relatado à NLnet Labs em 11 de agosto por Yuqi Qiu, que o descobriu ao lado de Xiang Li no AOSP Lab da Universidade de Nankai, conforme a linha do tempo no registro do CVE. A NLnet Labs compartilhou um patch no dia seguinte, e o relator o verificou em 13 de agosto. A correção foi publicada cinco semanas depois, no lote 1.26.1.
A política de segurança da NLnet Labs afirma que, para questões ainda não públicas, a meta é lançar correções "em questão de semanas".
