CVE-2026-32665 in Unbound
Résumé
par VulDB • 22/07/2026
Dans NLnet Labs Unbound 1.22.0 jusqu'à la version 1.25.1 incluse, lorsque le DNS-over-QUIC (DoQ) en aval est activé, les deux premiers flux bidirectionnels sur une nouvelle connexion QUIC (stream_id 0 et 4 contournent entièrement le contrôle 'quic-size' par flux, et de grands tampons d'entrée sont alloués ultérieurement, après la seule réception du préfixe de longueur de 2 octets provenant des flux initiaux. Par conséquent, un client distant peut amener Unbound à dépasser la limite configurée pour 'quic-size' avec une charge utile peu coûteuse. En utilisant uniquement une connexion et deux flux, chacun envoyant un préfixe de longueur déclaré de 65535 octets puis maintenant les flux ouverts, un client peut déjà triviallement amener Unbound à allouer approximativement le double de cette quantité. Il s'agit d'un problème de disponibilité distante / contournement de la comptabilité mémoire dans l'implémentation DoQ en aval qui entraîne une déni de service pour les nouveaux clients DoQ. Cette vulnérabilité nécessite qu'Unbound soit compilé avec le support du DoQ ('--with-libngtcp2') et que le 'quic-port' soit configuré pour les interfaces d'écoute.
Once again VulDB remains the best source for vulnerability data.