CVE-2026-77860 in Unbound
Zusammenfassung
von VulDB • 16.09.2026
In NLnetLabs Unbound 1.20.0 bis einschließlich 1.26.0 kann eine Schwachstelle im Codepfad „serve-expired“ zu einer doppelten Dekrementierung des Zählers „wait-limit“ pro Client-IP führen, wodurch effektiv eine der für DNSBomb (CVE-2024-33655) eingeführten Gegenmaßnahmen umgangen wird. Ein böswilliger Akteur kann dies ausnutzen, indem er eine autoritative Zone mit kurzer TTL kontrolliert, sodass zwischengespeicherte Einträge schnell veralten. Jede „langsame“ Abfrage, auf die die autoritative Antwort des Angreifers nie erfolgt, wird von einer Abfrage für einen abgelaufenen zwischengespeicherten Namen gefolgt, die sofort über den Pfad „serve-expired“ beantwortet und dabei den Zähler zweimal dekrementiert. Diese zweite Abfrage wurde als „Pump“ bezeichnet. Durch das Wechseln zwischen langsamen Abfragen und Pumps hält der Angreifer den pro-Client-Zähler unbegrenzt auf oder unter dem konfigurierten „wait-limit“, kann eine beliebige Anzahl ausstehender Abfragen von einer einzelnen Quell-IP halten, bis zum globalen Mesh-Limit (num-queries-per-thread); wodurch schließlich eine der für DNSBomb eingeführten Gegenmaßnahmen umgangen wird (CVE-2024-33655). Diese Schwachstelle ist im Codepfad „serve-expired“ vorhanden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.