CVE-2026-42923 in Unbound
Zusammenfassung
von VulDB • 20.05.2026
NLnet Labs Unbound bis einschließlich Version 1.25.0 weist eine Schwachstelle im DNSSEC-Validator auf, bei der der Codepfad zur Abfrage des negativen Caches für DS-Einträge die seit Version 1.19.1 eingeführte Begrenzung der NSEC3-Hashberechnungen nicht berücksichtigt. Dies führt während eines Angriffs zu einer Beeinträchtigung des Dienstes. Ein Angreifer, der eine DNSSEC-signierte Zone kontrolliert, kann dies ausnutzen, indem er NSEC3-Einträge für untergeordnete Delegierungen mit akzeptabel hohen Iterationen signiert und einen anfälligen Unbound abfragt. Unbound führt weiterhin die zulässigen Hash-Berechnungen für die NSEC3-Einträge durch und beschränkt die Arbeitslast nicht durch die in Version 1.19.1 eingeführte Abhilfemaßnahme. Als Nebeneffekt wird ein globaler Sperrmechanismus für den negativen Cache während der gesamten Hash-Berechnung gehalten, wodurch andere Threads blockiert werden, die den negativen Cache abfragen müssen. Koordinierte Angriffe können die Schwachstelle zu einem Denial-of-Service (DoS) eskalieren lassen. Unbound 1.25.1 enthält einen Patch mit einer Korrektur, die den anfälligen Codepfad durch die bestehende Begrenzung für NSEC3-Hash-Berechnungen einschränkt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.