CVE-2026-82717
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
0.8%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
Die Schwachstelle CVE-2026-82717 betrifft NLnet Labs Unbound bis einschließlich Version 1.26.0. Es handelt sich um eine Heap-Memory-Corruption-Schwachstelle, die unter bestimmten System- und Kompilierungsbedingungen zu Remote Code Execution (RCE) führen kann. Die Ursache liegt in einem Fehler bei der CNAME-Synthese, der in Verbindung mit einem Kompressionszeiger zu einem Heap-Buffer-Overflow führt. Dies kann die Speicherkonsistenz beeinträchtigen und letztlich zum Absturz des Dienstes führen. Mit einem CVSS-Score von 9.8 (CRITICAL) ist diese Schwachstelle als äußerst schwerwiegend einzustufen. Obwohl die EPSS-Wahrscheinlichkeit für eine Ausnutzung bei nur 1% liegt und sie nicht in CISAs KEV-Katalog aufgeführt ist, deutet die potenzielle Auswirkung auf RCE auf ein hohes Risiko hin. Security-Teams sollten umgehend prüfen, ob sie betroffene Unbound-Versionen einsetzen. Eine Priorisierung der Patches ist aufgrund der kritischen Bewertung und der Möglichkeit der Remote Code Execution dringend empfohlen, sobald Updates verfügbar sind. Bis dahin sollten, falls möglich, mitigierende Maßnahmen zur Absicherung des Dienstes in Betracht gezogen werden.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
In NLnet Labs Unbound up to and including 1.26.0, a vulnerability was found in that can progressively corrupt heap memory and under certain systems and compilation options could lead to remote code execution. The vulnerability starts when CNAME synthesis during an upstream response needs to enforce(rewrite) a max TTL value in the packet buffer. Coupled with a compression pointer that points to the overwritten value and invalidates the domain name, it leads to an error path that does not properly move the buffer position and allows for the heap buffer overflow. Since this is heavily reliant on heap memory layout, results are memory corruption that eventually leads to a crash and under specific systems and compilation options remote code execution.
Betroffene Produkte
- cpe:2.3:a:nlnetlabs:unbound:*:*:*:*:*:*:*:*