CVE-2026-41637
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W NLnet Labs Unbound od wersji 1.22.0 do 1.25.1 wykryto podatność w obsłudze zapytań DNS-over-QUIC (DoQ). Przedwcześnie zakończone zapytania DoQ nie są prawidłowo rozliczane, co prowadzi do zawyżenia liczby oczekujących odpowiedzi dla już przetwarzanych zapytań. Powoduje to degradację usługi rozwiązywania nazw dla nowych klientów.
Ocena ryzyka
Złośliwy aktor może wykorzystać tę podatność do przeprowadzenia ataku DoS na serwer Unbound, powodując ciche odrzucanie zapytań od nowych klientów i pogorszenie wydajności usługi DNS.
Rekomendacja
Zaleca się aktualizację Unbound do wersji 1.25.2 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy rozważyć wyłączenie obsługi DoQ lub ograniczenie dostępu do wielu źródłowych adresów IP.
Oryginalny opis (angielski, źródło NVD)
In NLnet Labs Unbound 1.22.0 up to and including 1.25.1, client terminated DNS-over-QUIC (DoQ) queries are not accounted properly by Unbound resulting in low-cost inflation of the waiting number of replies for already in-flight resolution queries. This results in degradation of resolution service for new clients for already in-flight queries. A malicious actor can exploit the vulnerability by issuing DoQ queries for query names that need resolution and proceeding on immediately terminating the query by one of STOP_SENDING/RESET_STREAM/CONNECTION_CLOSE QUIC frames. Those terminated DoQ queries are not properly counted for and keep inflating the number of waiting replies for in-flight queries. When the maximum is reached, it results in silent query drops for new clients needing resolution for already in-flight queries. This vulnerability needs Unbound to be compiled with DoQ support ('--with-libngtcp2') and the 'quic-port' to be configured for the listening interfaces. Additionally, a malicious actor needs access to multiple source IPs to bypass the by-default configured 'wait-limit' option.