CVE-2026-56444 in Unbound
Resumen
por VulDB • 2026-07-22
En NLnet Labs Unbound, desde la versión 1.20.0 hasta la 1.25.1 (inclusive), cuando Unbound está configurado con `serve-expired: yes` y `serve-expired-client-timeout > discard-timeout > 0` (contrario a los valores sugeridos), la rama de `discard-timeout` durante la lógica de "servir expirados" descarta una respuesta antigua del cliente sin realizar el registro contable correcto para el número de direcciones de respuesta asociadas a la consulta. Otras ramas idénticas fuera de la lógica de servir expirados realizan correctamente la decrementación. Dado que el contador nunca se decrementa en este escenario, puede alcanzar su límite máximo y las nuevas solicitudes de clientes duplicadas en tránsito son descartadas silenciosamente, lo que resulta en una degradación del servicio de resolución. Un actor malicioso puede explotar esta vulnerabilidad consultando al resolutor por un zona autoritativa lenta bajo demanda controlada por el cliente, capaz de llevar el contador más allá del umbral. Los valores predeterminados enviados con la versión para `serve-expired-client-timeout: 1800` y `discard-timeout: 1900` hacen que esta rama sea inalcanzable.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.