„`html
Zusammenfassung
CVE-2026-32665 beschreibt eine Memory-Accounting-Bypass-Schwachstelle in NLnet Labs Unbound, die es Angreifern ermöglicht, Denial-of-Service-Attacken durchzuführen. Die Lücke betrifft die DNS-over-QUIC (DoQ) Implementierung und führt zu unkontrollierter Speicherallokation auf betroffenen Systemen.
Betroffene Systeme
Die Schwachstelle betrifft Unbound-Versionen ab 1.22.0 bis einschlieĂźlich 1.25.1. Folgende Bedingungen mĂĽssen erfĂĽllt sein:
- Unbound muss mit DoQ-UnterstĂĽtzung (–with-libngtcp2) kompiliert sein
- Downstream DNS-over-QUIC muss aktiviert sein
- Ein QUIC-Port muss auf den Listening-Interfaces konfiguriert sein
Technische Details
Der Schwachstelle liegt eine ImplementierungslĂĽcke bei der Verarbeitung von QUIC-Streams zugrunde. Die ersten beiden bidirektionalen Streams (stream_id 0 und 4) einer neuen QUIC-Verbindung umgehen den per-Stream ‚quic-size‘-Kontrollmechanismus vollständig. Dies ermöglicht es, dass groĂźe Eingabepuffer erst nach dem Empfang des 2-Byte-Längenpräfix allokiert werden.
Ein entfernter Angreifer kann mit minimalem Aufwand die konfigurierten ‚quic-size‘-Limits ĂĽberschreiten. Durch das Ă–ffnen einer einzelnen Verbindung mit zwei Streams, die jeweils ein 65535-Byte-Längenpräfix senden und offengehalten werden, kann bereits die doppelte Speichermenge allokiert werden.
Empfohlene Massnahmen
- Unbound auf eine gepatchte Version aktualisieren (> 1.25.1)
- DoQ-Funktionalität deaktivieren, falls nicht erforderlich
- QUIC-Ports nur fĂĽr vertrauenswĂĽrdige Netzwerke freigeben
- Ressourcenbeschränkungen auf Systemebene implementieren
- Monitoring zur Ăśberwachung von Speichernutzung und unerwarteten Verbindungsmustern aktivieren
Bewertung
CVSS-Score: 7.5 (High)
Die Schwachstelle hat hohes Schadenpotenzial durch Remote-Denial-of-Service-Möglichkeiten. Betroffene DoQ-Installationen sollten prioritär gepatcht werden. Systeme ohne DoQ-Aktivierung sind nicht betroffen.
„`