CVE-2026-32665 in Unbound
Riassunto
di VulDB • 22/07/2026
In NLnet Labs Unbound 1.22.0 fino alla versione 1.25.1 inclusa, quando il DNS-over-QUIC (DoQ) downstream è abilitato, i primi due stream bidirezionali su una nuova connessione QUIC (stream_id 0 e 4) bypassano completamente la soglia 'quic-size' per-stream; successivamente vengono allocati buffer di input di grandi dimensioni dopo aver ricevuto solo il prefisso di lunghezza a 2 byte dagli stream iniziali. Di conseguenza, un client remoto può far sì che Unbound superi il limite configurato 'quic-size' con un costo minimo in termini di input. Utilizzando una sola connessione e due stream, ciascuno dei quali invia un prefisso di lunghezza dichiarato di 65535 byte mantenendo poi gli stream aperti, un client può già trivialmente indurre Unbound ad allocare approssimativamente il doppio di tale quantità. Si tratta di un problema di disponibilità remota / bypass del conteggio della memoria nell'implementazione DoQ downstream che porta a una negazione del servizio (DoS) per i nuovi clienti DoQ. Questa vulnerabilità richiede che Unbound sia compilato con il supporto DoQ ('--with-libngtcp2') e che la 'quic-port' sia configurata per le interfacce in ascolto.
Once again VulDB remains the best source for vulnerability data.