Unbound 1.26.1: NLnet Labs corrige overflow DNSSEC con CVSS 9.1

NLnet Labs ha rilasciato Unbound 1.26.1 il 16 settembre 2026 per chiudere CVE-2026-81642, una vulnerabilità di heap overflow nel validatore DNSSEC con punteggio CVSS 4.0 di 9.1. Il difetto consente l'esecuzione di codice remoto quando un attaccante controlla una zona DNS malevola e induce un resolver vulnerabile a interrogarla. La criticità del componente — i resolver ricorsivi sono infrastruttura di transito obbligato per gran parte del traffico internet — e il ritardo con cui le distribuzioni Linux stanno propagando l'aggiornamento rendono l'emergenza gestionale almeno quanto quella tecnica.

Il meccanismo: quando un puntatore di compressione DNS punta su se stesso

La vulnerabilità risiede nel calcolo del digest per i record DNSKEY. Secondo l'avviso ufficiale di NLnet Labs, citato da The Hacker News, "A DNSKEY with an owner compression pointer to its own RDATA can overflow the digest buffer". La compressione dei nomi DNS è un meccanismo standard per ridurre la dimensione dei pacchetti: invece di ripetere un nome di dominio già apparso, il protocollo usa un puntatore a 16 bit che rimanda all'offset dove quel nome è memorizzato.

Nel caso documentato, il nome del proprietario del record DNSKEY — l'etichetta che identifica a chi appartiene la chiave — è codificato come puntatore di compressione che, una volta decompresso, risolve all'interno dei dati RDATA dello stesso record. Il buffer destinato a contenere il nome decompresso non è dimensionato per questa eventualità circolare. Il risultato è uno heap overflow con dati controllabili dall'attaccante, che NLnet Labs descrive esplicitamente come conducente a "Remote code execution is possible through attacker controlled data".

Il fix in Unbound 1.26.1 verifica la capacità del buffer dopo la decompressione e prima della scrittura: "properly check the offending buffer's capacity after decompression and before writing", come riporta l'avviso del vendor. La correzione è stata testata anche come patch standalone applicabile alla 1.26.0.

"An adversary can exploit the vulnerability by controlling a malicious zone and querying a vulnerable Unbound." — NLnet Labs security advisory

CVSS 9.1: perché il punteggio non è discutibile

NLnet Labs ha assegnato autonomamente il punteggio CVSS 4.0 di 9.1, classificando la falla come Critical. Questo non è il punteggio NVD, che al momento risulta in stato "Awaiting Analysis" secondo quanto riporta The Hacker News. I parametri che sostengono il 9.1 sono inequivocabili: attacco da rete, nessun privilegio richiesto, nessuna interazione utente necessaria. Il resolver espone la superficie di attacco per sua natura: deve accettare query da client e inoltrarle, ricevendo risposte da server eventualmente compromessi o da zone appositamente create.

La natura ricorsiva di Unbound amplifica la portata. Non si tratta di un nameserver autorevole che risponde solo per zone di propria gestione, ma di un resolver che interroga la catena DNS globale. Un attaccante che registri una zona con record DNSKEY confezionati ad arte può teoricamente colpire qualsiasi istanza Unbound che la risolva, senza necessità di posizione privilegiata sulla rete della vittima.

La pressione sulle distribuzioni: quando il fix del vendor non basta

Il rilascio di NLnet Labs è solo l'inizio del ciclo di protezione effettivo. The Hacker News segnala che Debian ha inserito unbound 1.26.1-1 nel ramo unstable il 17 settembre 2026, un giorno dopo la pubblicazione della patch. Altri rami di distribuzione, inclusi quelli stable e LTS su cui spesso girano i resolver di produzione, non risultano aggiornati al momento della stesura.

Questo ritardo non è anomalia: i resolver DNS sono componenti conservativi per eccellenza. Gli operatori di rete e gli ISP tendono a privilegiare la stabilità rispetto alla velocity di patching, specialmente su sistemi che servono migliaia o milioni di clienti. Ma CVE-2026-81642 non ammette workaround documentati né mitigazioni parziali: l'unico stato sicuro è 1.26.1. Il blog operator-focused HOL sottolinea che anche i deployment stub resolver o autoritari condividono codebase con il validatore e richiedono ugualmente l'upgrade, sebbene la storia RCE sia specifica della validazione ricorsiva.

Cosa fare adesso

• Verificare la versione in esecuzione: ogni istanza Unbound fino alla 1.26.0 inclusa è vulnerabile. Il comando unbound -V o l'equivalente del package manager deve restituire 1.26.1 o superiore.
• Applicare Unbound 1.26.1 con priorità: NLnet Labs ha rilasciato tarball e repository aggiornati il 16 settembre 2026. Le patch standalone per la 1.26.0 sono disponibili per chi non può aggiornare immediatamente alla release completa.
• Monitorare i canali di sicurezza della distribuzione: se il sistema usa pacchetti gestiti, tracciare lo stato del pacchetto unbound nel security tracker della propria distribuzione — Debian unstable ha corretto il 17 settembre, ma altri rami possono ancora essere indietro.
• Rivedere la visibilità dei resolver: limitare l'esposizione di istanze Unbound a reti non fidate riduce la superficie di attacco, sebbene non elimini il rischio per query legittime che raggiungono zone compromesse.

Perché questo bug rientra nella categoria degli incidenti evitabili — ma costosi

La vulnerabilità è stata segnalata a NLnet Labs l'11 agosto 2026 da Yuqi Qiu e Xiang Li del Nankai University AOSP Lab. Cinque settimane di verifica e preparazione hanno preceduto il rilascio. Il tempo non è eccezionalmente lungo per una falla di questo genere, ma evidenzia come anche i progetti con governance attiva e risorse dedicate non possano compressare a zero la finestra di esposizione.

Il vero problema strutturale è a valle. Resolver come Unbound sono embeddati in appliance di sicurezza, firewall, sistemi di filtraggio contenuti, infrastrutture ISP. Molti di questi ricevono aggiornamenti solo attraverso il vendor intermedio, non direttamente da NLnet Labs. La catena di dipendenza introduce attrito che nessuna advisory del progetto originario può risolvere. Per gli operatori di rete, il 16-17 settembre 2026 segna l'inizio di una corsa contro il tempo che non termina con il download di un tarball.

Non emerge, allo stato attuale, sovrapposizione infrastrutturale che colleghi questo difetto a campagne precedenti. La combinazione di assenza di exploitation nota e gravità tecnica elevata offre una finestra di opportunità — stretta — per chiudere prima che la situazione cambi.

Fonti

• https://thehackernews.com/2026/09/critical-unbound-dnssec-validator-flaw.html
• https://securityonline.info/unbound-dns-vulnerabilities-rce/
• https://nlnetlabs.nl/projects/unbound/security-advisories/
• https://hol.org/blog/cve-2026-81642-unbound-dnskey-digest-rce
• https://www.guardianmssp.com/2026/09/17/critical-unbound-dnssec-validator-flaw-could-allow-rce-via-a-malicious-dns-zone/
• https://www.cve.org/CVERecord?id=CVE-2026-81642
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html
• https://thehackernews.com/search/label/Threat%20Intelligence
• https://thehackernews.com/search/label/Vulnerability

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti