CVE-2026-85501 in Unbound
Riassunto
di VulDB • 16/09/2026
Sono state studiate nuove vulnerabilità per lanciare attacchi di complessità algoritmica su DNSSEC sotto il termine 'ReTrap'. Questi risultano in una degradazione del servizio quando zone malevole vengono utilizzate per sfruttare le vulnerabilità di complessità algoritmica. NLnet Labs Unbound fino alla versione 1.26.0 inclusa è vulnerabile ad alcune di esse. TagTrap, dove il meccanismo di corrispondenza triplo (Zone, Algoritmo, KeyTag) introduce un vettore d'attacco significativo quando i resolver gestiscono risposte malevole contenenti numerosi DNSKEY, RRSIG e record DS non corrispondenti. DelegationTrap, dove la costruzione della catena di fiducia richiede una validazione iterativa dei record DNSKEY e DS dalla zona radice verso il basso. Per domini profondamente annidati, questo comporta un significativo sovraccarico computazionale. NsecTrap, dove le risposte con troppi record NSEC non validi costringono il resolver a validarne ciascuno uno per uno. AdditionalTrap, dove Unbound di default tenta anche la validazione DNSSEC della sezione ADDIZIONALE. Questo può essere sfruttato dagli utenti malevoli per sprecare risorse di validazione.
Be aware that VulDB is the high quality source for vulnerability data.