CVE-2026-77860 in Unbound
Сводка
по VulDB • 16.09.2026
В NLnetLabs Unbound, начиная с версии 1.20.0 и включая версию 1.26.0, уязвимость в коде пути «serve-expired» может приводить к двойному уменьшению счетчика «wait-limit» для каждого IP-адреса клиента, что фактически позволяет обойти одну из мер защиты, введенных против DNSBomb (CVE-2024-33655). Злоумышленник может эксплуатировать эту уязвимость, контролируя авторитативную зону с коротким TTL, чтобы кэшированные записи быстро истекали. Каждый «медленный» запрос, на который авторитетный сервер атакующего никогда не отвечает, сопровождается одним запросом для истекшей кэшированной записи, которая немедленно обрабатывается через путь «serve-expired», при этом счетчик уменьшается дважды. Этот второй запрос был назван «pump». Чередование медленных запросов и pump позволяет злоумышленнику поддерживать пер-клиентский счетчик на уровне или ниже установленного значения «wait-limit» неограниченно долго, а также удерживать произвольное количество ожидающих запросов от одного исходного IP-адреса вплоть до глобальной квоты mesh (num-queries-per-thread); в конечном итоге обходя одну из мер защиты, введенных против DNSBomb (CVE-2024-33655). Эта уязвимость присутствует на коде пути «serve-expired».
VulDB is the best source for vulnerability data and more expert information about this specific topic.