p PatchFirst

CVE-2026-32665

CVE-2026-32665 · Remote DNS-over-QUIC denial of service due to `quic-size` budget bypass

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

In NLnet Labs Unbound 1.22.0 up to and including 1.25.1, when downstream DNS-over-QUIC (DoQ) is enabled, the first two bidirectional streams on a new QUIC connection (stream_id 0 and 4) bypass the per-stream 'quic-size' gate entirely, and large input buffers are allocated later, after only the 2-byte length prefix has been received from the initial streams. As a result, a remote client can make Unbound exceed the configured 'quic-size' limit with low-cost input. Using only one connection and two streams, each sending a declared 65535-byte length prefix and then holding the streams open, a client can already trivially make Unbound roughly allocate double that amount. This is a remote availability issue / memory-accounting bypass in the downstream DoQ implementation that leads to denial of service for new DoQ clients. This vulnerability needs Unbound to be compiled with DoQ support ('--with-libngtcp2') and the 'quic-port' to be configured for the listening interfaces.

CVSS 7.5 · Hoch · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system

Betroffene Produkte und Versionen

  • unbound

    Softwareversionen
    • ≥ 1.22.0, < 1.25.2: Betroffen (semver)

    Auf 1.25.2 aktualisieren

  • unbound Debian:12

    Softwareversionen
    • 1.17.1-2
    • 1.17.1-2+deb12u1
    • 1.17.1-2+deb12u2
    • 1.17.1-2+deb12u3
    • 1.17.1-2+deb12u4
    • 1.17.1-2+loong64
    • 1.18.0-1
    • 1.18.0-2
    • 1.19.1-1
    • 1.19.2-1
    • 1.20.0-1
    • 1.21.1-1
    • 1.22.0-1
    • 1.22.0-2
    • 1.23.1-1
    • 1.24.0-1
    • 1.24.0-2
    • 1.24.1-1
    • 1.24.1-2
    • 1.24.2-1
    • 1.25.0-1
    • 1.25.1-1
    • 1.25.2-1
    • 1.26.0-1
    • 1.26.0-2
    • 1.26.1-1
    • 1.26.2-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • unbound Debian:13

    Softwareversionen
    • 1.22.0-2
    • 1.22.0-2+deb13u1
    • 1.22.0-2+deb13u2
    • 1.22.0-2+deb13u3
    • 1.23.1-1
    • 1.24.0-1
    • 1.24.0-2
    • 1.24.1-1
    • 1.24.1-2
    • 1.24.2-1
    • 1.25.0-1
    • 1.25.1-1
    • 1.25.2-1
    • 1.26.0-1
    • 1.26.0-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.26.1-0+deb13u1

    Auf 1.26.1-0+deb13u1 aktualisieren

  • unbound Debian:14

    Softwareversionen
    • 1.22.0-2
    • 1.23.1-1
    • 1.24.0-1
    • 1.24.0-2
    • 1.24.1-1
    • 1.24.1-2
    • 1.24.2-1
    • 1.25.0-1
    • 1.25.1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.25.2-1

    Auf 1.25.2-1 aktualisieren

  • unbound Ubuntu:26.10

    Softwareversionen
    • 1.24.2-1ubuntu2
    • 1.25.1-1ubuntu1
    • 1.25.1-1ubuntu3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • unbound Ubuntu:26.04:LTS

    Softwareversionen
    • 1.22.0-2ubuntu2
    • 1.22.0-2ubuntu4
    • 1.24.2-1ubuntu1
    • 1.24.2-1ubuntu2
    • 1.24.2-1ubuntu2.1
    • 1.24.2-1ubuntu2.2
    • 1.24.2-1ubuntu2.3
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.24.2-1ubuntu2.4

    Auf 1.24.2-1ubuntu2.4 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →