CVE-2026-56444 in Unbound
Zusammenfassung
von VulDB • 22.07.2026
In NLnet Labs Unbound ab der Version 1.20.0 bis einschließlich 1.25.1 führt eine Konfiguration mit „serve-expired: yes“ und „serve-expired-client-timeout > discard-timeout > 0“ (im Widerspruch zu den empfohlenen Werten) dazu, dass im Rahmen der Logik für abgelaufene Antworten („serve expired“) die Verzweigung für `discard-timeout` eine veraltete Client-Antwort verwirft, ohne die korrekte Kontierung für die Anzahl der Antwortadressen für die Abfrage durchzuführen. Andere identische Verzweigungen außerhalb des „serve-expired“-Mechanismus führen den entsprechenden Dekrement korrekt aus. Da der Zähler in einem solchen Szenario niemals dekrementiert wird, kann er das maximale Limit erreichen und neue Clients für doppelte, noch aktive („in-flight“) Abfragen werden stillschweigend verworfen, was zu einer Beeinträchtigung des Auflösungsdienstes führt. Ein böswilliger Akteur kann die Schwachstelle ausnutzen, indem er den Resolver nach einer vom Client kontrollierten, langsam auf Abruf verfügbaren autoritativen Zone abfragt, wodurch der Zähler über den Schwellenwert getrieben wird. Die mitgelieferten Standardwerte für „serve-expired-client-timeout: 1800“ und „discard-timeout: 1900“ machen diese Verzweigung jedoch unerreichbar.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.