Eine kritische Sicherheitslücke im Unbound DNS-Resolver gefährdet Systeme weltweit: Der DNSSEC-Validator des beliebten Open-Source-Servers weist vor Version 1.26.1 einen Heap-Overflow auf, der es Angreifern ermöglicht, durch eine manipulierte Zone Code auszuführen. NLnet Labs, der Maintainer, veröffentlichte am Mittwoch ein Advisory zur Schwachstelle CVE-2026-81642 und stuft sie als kritisch ein – der CVSS-Score beträgt 9,1. Betroffen sind sämtliche Versionen bis einschließlich 1.26.0.
Hintergrund und Auswirkungen
Der Fehler tritt auf, während der Validator einen DNSKEY-Eintrag verarbeitet. Wenn der Owner-Name eines solchen Eintrags als Compression-Pointer auf die eigenen Daten des Records verweist, kommt es zum Heap-Overflow. Ein Angreifer, der Kontrolle über eine bösartige Zone hat und einen anfälligen Resolver abfragt, kann diese Schwachstelle auslösen. NLnet Labs gibt an, dass die Auswirkungen primär einen Denial-of-Service umfassen, aber durch kontrollierte Daten eine Remotecodeausführung möglich ist.
Das Unternehmen hat keine Hinweise auf eine aktive Ausnutzung der Sicherheitslücke. Auch die US-Behörde CISA markierte die Schwachstelle am Mittwoch als „nicht ausgenutzt“. Dennoch ist die Bedrohung ernst: Da Unbound als rekursiver Resolver in vielen Netzwerken und Cloud-Umgebungen eingesetzt wird, könnte eine erfolgreiche Kompromittierung weitreichende Folgen haben.
Neben CVE-2026-81642 wurden in Version 1.26.1 acht weitere Fehler behoben. Besonders hervorzuheben ist CVE-2026-82717, ein Heap-Corruption-Bug in der CNAME-Synthese, der ebenfalls zu Remotecodeausführung führen kann – allerdings „unter bestimmten Systemen und Kompilierungsoptionen“, wie NLnet Labs betont. Entdeckt wurde dieser Fehler von Ben Morris von Anthropic.
Patch und Upgrade
Unbound 1.26.1 steht als Quellcode sowie als Windows-Installer und Binärdateien zur Verfügung. Falls ein Upgrade nicht sofort möglich ist, bietet NLnet Labs zwei Möglichkeiten, den Quellbaum manuell zu patchen. Zum einen können die minimalen oder vollständigen Patches für CVE-2026-81642 und CVE-2026-82717 einzeln eingespielt werden. Zum anderen gibt es einen kombinierten Patch, der alle neun Korrekturen enthält. Die Patches sind für Version 1.26.0 getestet. Debian listet die reparierte Version 1.26.1-1 in unstable; die Zweige bookworm, trixie und forky gelten noch als verwundbar.
Die neun behobenen Schwachstellen im Überblick
NLnet Labs veröffentlichte für das Release 1.26.1 eine Liste mit neun CVEs. Die folgende Beschreibung fasst die betroffenen Versionen, Auslöser und Auswirkungen zusammen, basierend auf den Angaben des Maintainers:
- CVE-2026-81642 (Kritisch, CVSS 9.1): Alle Versionen bis 1.26.0 betroffen. Ein Angreifer kontrolliert eine bösartige Zone und fragt den Resolver ab. Auswirkung: Denial-of-Service, mögliche Remotecodeausführung.
- CVE-2026-82717 (Hoch): Ebenfalls alle Versionen bis 1.26.0 betroffen. Auslöser ist eine CNAME-Synthese während einer Upstream-Antwort. Codeausführung ist unter bestimmten Systemen und Kompilierungsoptionen möglich. Auswirkung: Denial-of-Service, mögliche Remotecodeausführung.
- CVE-2026-81634 (Hoch): Alle Versionen bis 1.26.0 betroffen. Ein 255-Zeichen-Query-Name mit einer großen TCP-Antwort von einem bösartigen Nameserver oder manipulierten Response. Auswirkung: Denial-of-Service.
- CVE-2026-77955 (Mittel): Versionen 1.13.2 bis 1.26.0 betroffen. Zonen mit zonemd-check: yes unterhalb, aber nicht direkt an einem Trust Anchor. Auswirkung: Denial-of-Service, Fenster für manipulierte Zonendaten vor der ZONEMD-Prüfung.
- CVE-2026-78227 (Mittel): Versionen 1.22.0 bis 1.26.0 betroffen. Nur bei Build mit –with-libngtcp2 und konfiguriertem quic-port. Auswirkung: Denial-of-Service.
- CVE-2026-80225 (Mittel): Alle Versionen bis 1.26.0 betroffen. Ein anhaltender Strom von ungecachten, unterschiedlichen Namen über eine einzelne TCP- oder DoT-Verbindung. Auswirkung: Dienstverschlechterung.
- CVE-2026-82720 (Mittel): Versionen 1.12.0 bis 1.26.0 betroffen. Nur bei Build mit –with-libnghttp2 und konfiguriertem https-port. Die Auswirkung wird von NLnet Labs als begrenzt eingestuft. Auswirkung: Denial-of-Service.
- CVE-2026-85501 (Mittel): Alle Versionen bis 1.26.0 betroffen. Bösartige Zonen, die ReTrap-Angriffe (TagTrap, DelegationTrap, NsecTrap, AdditionalTrap) bedienen. Auswirkung: Dienstverschlechterung.
- CVE-2026-77860 (Niedrig): Versionen 1.20.0 bis 1.26.0 betroffen. Der serve-expired-Codepfad umgeht eine Gegenmaßnahme für DNSBomb. Auswirkung: Kann an einem pulsierenden DoS-Amplifikationsangriff teilnehmen.
Mit dem Fix für CVE-2026-85501 ändert sich auch ein Default: val-clean-additional ist nun standardmäßig deaktiviert, sodass Unbound DNSSEC-Daten im Additional-Bereich einer Antwort nicht mehr validiert.
Reaktion und Zeitplan
Die Schwachstelle CVE-2026-81642 wurde am 11. August von Yuqi Qiu entdeckt, der sie gemeinsam mit Xiang Li im AOSP Lab der Nankai-Universität fand. NLnet Labs stellte bereits am nächsten Tag einen Patch bereit, den der Reporter am 13. August bestätigte. Die endgültige Korrektur floss fünf Wochen später in das kumulative Update 1.26.1 ein. Nach eigener Sicherheitsrichtlinie strebt NLnet Labs bei noch nicht öffentlichen Problemen Veröffentlichungen „im Bereich von Wochen“ an. Diese Timeline unterstreicht die Effizienz des verantwortungsvollen Offenlegungsprozesses, mahnt aber gleichzeitig zur Eile bei der Aktualisierung – denn jede ungepatchte Version bleibt ein Einfallstor für Angreifer, die gezielt manipulierte Zonen einschleusen. Administratoren sollten unverzüglich auf Unbound 1.26.1 aktualisieren oder die bereitgestellten Patches einspielen. Insbesondere Betreiber kritischer Infrastrukturen müssen die Gefahr eines vollständigen Systemkompromisses durch eine scheinbar harmlose DNSSEC-Abfrage ernst nehmen.
