CVE-2026-56444 in Unbound
Sumário
de VulDB • 22/07/2026
Nel software Unbound di NLnet Labs, dalle versioni 1.20.0 alla 1.25.1 incluse, quando Unbound è configurato con l'impostazione `serve-expired: yes` e la condizione `serve-expired-client-timeout > discard-timeout > 0` (in contrasto con i valori consigliati), il ramo relativo al timeout di eliminazione (`discard-timeout`) durante la logica di "servizio scaduto" scarta una risposta client obsoleta senza effettuare la corretta contabilizzazione del numero di indirizzi di risposta per la query. Altri rami identici, esterni alla logica di servizio scaduto, eseguono correttamente l'operazione di decremento. Poiché il contatore non viene mai decrementato in tale scenario, può raggiungere il limite massimo e i nuovi client che effettuano richieste duplicate già in corso vengono scartati silenziosamente, causando un degrado del servizio di risoluzione dei nomi. Un malintenzionato può sfruttare la vulnerabilità interrogando il resolver per una zona autoritativa lenta su richiesta controllata dal cliente, in grado di spingere il contatore oltre la soglia stabilita. I valori predefiniti forniti con il software (`serve-expired-client-timeout: 1800` e `discard-timeout: 1900`) rendono questo ramo del codice irraggiungibile.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.