p PatchFirst

CVE-2026-82720

CVE-2026-82720 · Use-after-free in DoH stream cleanup code path

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

NLnet Labs Unbound 1.12.0 up to and including 1.26.0 has a use-after-free vulnerability when compiled for DNS-over-HTTPs support with '--with-libnghttp2'. During failure code paths (i.e., RPZ drop query, jostle due to heavy traffic), a dropped DoH stream brings down the whole DoH session and does not account properly for other DoH streams in the same session. This leads to use-after-free in those code paths. If the prerequisites are satisfied (possible RPZ drop or heavy client traffic), a malicious actor can trigger the vulnerability with a single DoH connection and the appropriate traffic. Impact is limited as the reads are not user controlled and the use-after-free leads to early returns. However, a hardened allocator can catch the use-after-free and controllably terminate the process resulting to denial of service.

CVSS 5.9 · Mittel · EPSS 0,4% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system

Betroffene Produkte und Versionen

  • unbound

    Softwareversionen
    • ≥ 1.12.0, < 1.26.1: Betroffen (semver)

    Auf 1.26.1 aktualisieren

  • unbound Debian:12

    Softwareversionen
    • 1.17.1-2
    • 1.17.1-2+deb12u1
    • 1.17.1-2+deb12u2
    • 1.17.1-2+deb12u3
    • 1.17.1-2+deb12u4
    • 1.17.1-2+loong64
    • 1.18.0-1
    • 1.18.0-2
    • 1.19.1-1
    • 1.19.2-1
    • 1.20.0-1
    • 1.21.1-1
    • 1.22.0-1
    • 1.22.0-2
    • 1.23.1-1
    • 1.24.0-1
    • 1.24.0-2
    • 1.24.1-1
    • 1.24.1-2
    • 1.24.2-1
    • 1.25.0-1
    • 1.25.1-1
    • 1.25.2-1
    • 1.26.0-1
    • 1.26.0-2
    • 1.26.1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • unbound Debian:13

    Softwareversionen
    • 1.22.0-2
    • 1.22.0-2+deb13u1
    • 1.22.0-2+deb13u2
    • 1.22.0-2+deb13u3
    • 1.23.1-1
    • 1.24.0-1
    • 1.24.0-2
    • 1.24.1-1
    • 1.24.1-2
    • 1.24.2-1
    • 1.25.0-1
    • 1.25.1-1
    • 1.25.2-1
    • 1.26.0-1
    • 1.26.0-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.26.1-0+deb13u1

    Auf 1.26.1-0+deb13u1 aktualisieren

  • unbound Debian:14

    Softwareversionen
    • 1.22.0-2
    • 1.23.1-1
    • 1.24.0-1
    • 1.24.0-2
    • 1.24.1-1
    • 1.24.1-2
    • 1.24.2-1
    • 1.25.0-1
    • 1.25.1-1
    • 1.25.2-1
    • 1.26.0-1
    • 1.26.0-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.26.1-1

    Auf 1.26.1-1 aktualisieren

  • unbound Ubuntu:Pro:14.04:LTS

    Softwareversionen
    • 1.4.20-1
    • 1.4.21-1
    • 1.4.21-1ubuntu1
    • 1.4.21-1ubuntu2
    • 1.4.22-1ubuntu1
    • 1.4.22-1ubuntu2
    • 1.4.22-1ubuntu3
    • 1.4.22-1ubuntu4
    • 1.4.22-1ubuntu4.14.04.1
    • 1.4.22-1ubuntu4.14.04.2
    • 1.4.22-1ubuntu4.14.04.3
    • 1.4.22-1ubuntu4.14.04.3+esm1
    • 1.4.22-1ubuntu4.14.04.3+esm2
    • 1.4.22-1ubuntu4.14.04.3+esm3
    • 1.4.22-1ubuntu4.14.04.3+esm4
    • 1.4.22-1ubuntu4.14.04.3+esm5
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • unbound Ubuntu:Pro:16.04:LTS

    Softwareversionen
    • 1.4.22-1ubuntu6
    • 1.5.7-1ubuntu1
    • 1.5.7-1ubuntu2
    • 1.5.8-1ubuntu1
    • 1.5.8-1ubuntu1.1
    • 1.5.8-1ubuntu1.1+esm1
    • 1.5.8-1ubuntu1.1+esm2
    • 1.5.8-1ubuntu1.1+esm3
    • 1.5.8-1ubuntu1.1+esm4
    • 1.5.8-1ubuntu1.1+esm5
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • unbound Ubuntu:Pro:18.04:LTS

    Softwareversionen
    • 1.6.5-1
    • 1.6.7-1
    • 1.6.7-1build1
    • 1.6.7-1ubuntu1
    • 1.6.7-1ubuntu2
    • 1.6.7-1ubuntu2.1
    • 1.6.7-1ubuntu2.2
    • 1.6.7-1ubuntu2.3
    • 1.6.7-1ubuntu2.4
    • 1.6.7-1ubuntu2.5
    • 1.6.7-1ubuntu2.6
    • 1.6.7-1ubuntu2.6+esm2
    • 1.6.7-1ubuntu2.6+esm3
    • 1.6.7-1ubuntu2.6+esm4
    • 1.6.7-1ubuntu2.6+esm5
    • 1.6.7-1ubuntu2.6+esm6
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • unbound Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 1.9.0-2ubuntu1
    • 1.9.0-2ubuntu2
    • 1.9.4-2
    • 1.9.4-2ubuntu1
    • 1.9.4-2ubuntu1.1
    • 1.9.4-2ubuntu1.2
    • 1.9.4-2ubuntu1.3
    • 1.9.4-2ubuntu1.4
    • 1.9.4-2ubuntu1.5
    • 1.9.4-2ubuntu1.6
    • 1.9.4-2ubuntu1.8
    • 1.9.4-2ubuntu1.9
    • 1.9.4-2ubuntu1.11
    • 1.9.4-2ubuntu1.11+esm1
    • 1.9.4-2ubuntu1.11+esm2
    • 1.9.4-2ubuntu1.11+esm3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • unbound Ubuntu:22.04:LTS

    Softwareversionen
    • 1.13.1-1ubuntu1
    • 1.13.1-1ubuntu3
    • 1.13.1-1ubuntu5
    • 1.13.1-1ubuntu5.1
    • 1.13.1-1ubuntu5.2
    • 1.13.1-1ubuntu5.3
    • 1.13.1-1ubuntu5.4
    • 1.13.1-1ubuntu5.5
    • 1.13.1-1ubuntu5.7
    • 1.13.1-1ubuntu5.8
    • 1.13.1-1ubuntu5.10
    • 1.13.1-1ubuntu5.11
    • 1.13.1-1ubuntu5.12
    • 1.13.1-1ubuntu5.13
    • 1.13.1-1ubuntu5.14
    • 1.13.1-1ubuntu5.15
    • 1.13.1-1ubuntu5.16
    • 1.13.1-1ubuntu5.17
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • unbound Ubuntu:24.04:LTS

    Softwareversionen
    • 1.17.1-2
    • 1.18.0-2ubuntu1
    • 1.18.0-2ubuntu2
    • 1.19.1-1ubuntu1
    • 1.19.2-1ubuntu1
    • 1.19.2-1ubuntu3
    • 1.19.2-1ubuntu3.1
    • 1.19.2-1ubuntu3.2
    • 1.19.2-1ubuntu3.3
    • 1.19.2-1ubuntu3.4
    • 1.19.2-1ubuntu3.5
    • 1.19.2-1ubuntu3.6
    • 1.19.2-1ubuntu3.7
    • 1.19.2-1ubuntu3.8
    • 1.19.2-1ubuntu3.9
    • 1.19.2-1ubuntu3.10
    • 1.19.2-1ubuntu3.12
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • unbound Ubuntu:26.10

    Softwareversionen
    • 1.24.2-1ubuntu2
    • 1.25.1-1ubuntu1
    • 1.25.1-1ubuntu3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • unbound Ubuntu:26.04:LTS

    Softwareversionen
    • 1.22.0-2ubuntu2
    • 1.22.0-2ubuntu4
    • 1.24.2-1ubuntu1
    • 1.24.2-1ubuntu2
    • 1.24.2-1ubuntu2.1
    • 1.24.2-1ubuntu2.2
    • 1.24.2-1ubuntu2.3
    • 1.24.2-1ubuntu2.4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →