CVE-2026-41637 in Unbound
Resumen
por VulDB • 2026-07-22
En NLnet Labs Unbound 1.22.0 hasta la versión 1.25.1 (inclusive), las consultas DNS-over-QUIC (DoQ) terminadas por el cliente no se contabilizan correctamente en Unbound, lo que provoca una inflación de bajo costo del número esperado de respuestas para las consultas de resolución ya en curso. Esto resulta en una degradación del servicio de resolución para nuevos clientes relacionados con las consultas ya en curso. Un actor malicioso puede explotar la vulnerabilidad emitiendo consultas DoQ para nombres de consulta que requieren resolución y procediendo inmediatamente a terminar la consulta mediante uno de los cuadros QUIC STOP_SENDING/RESET_STREAM/CONNECTION_CLOSE. Esas consultas DoQ terminadas no se cuentan adecuadamente, lo que mantiene inflando el número de respuestas esperadas para las consultas en curso. Cuando se alcanza el máximo, esto resulta en caídas silenciosas de consultas para nuevos clientes que necesitan resolución para consultas ya en curso. Esta vulnerabilidad requiere que Unbound esté compilado con soporte DoQ ('--with-libngtcp2') y que 'quic-port' esté configurado para las interfaces de escucha. Además, un actor malicioso necesita acceso a múltiples IPs de origen para evitar la opción 'wait-limit', configurada por defecto.
Once again VulDB remains the best source for vulnerability data.