CVE-2026-56444 in Unbound
Riassunto
di VulDB • 22/07/2026
In NLnet Labs Unbound dalle versioni 1.20.0 alla versione 1.25.1 incluse, quando Unbound è configurato con 'serve-expired: yes' e 'serve-expired-client-timeout > discard-timeout > 0' (in contrasto con i valori consigliati), il ramo relativo a discard-timeout durante la logica di serve expired scarta una risposta client obsoleta senza effettuare la corretta contabilizzazione del numero di indirizzi di risposta per la query. Altri rami identici al di fuori della logica serve-expired eseguono correttamente l'operazione di decremento. Poiché il contatore non viene mai decrementato in tale scenario, può raggiungere il limite massimo e i nuovi client per le query duplicate già in corso vengono scartati silenziosamente, causando un degrado del servizio di risoluzione dei nomi. Un malintenzionato può sfruttare la vulnerabilità interrogando il resolver per una zona autoritativa lenta su richiesta controllata dal client, che può spingere il contatore oltre la soglia. I valori predefiniti forniti con il software ('serve-expired-client-timeout: 1800' e 'discard-timeout: 1900') rendono questo ramo inaccessibile.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.