🟠 CVE-2026-40691: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-40691 ist eine High-Severity-Schwachstelle (CVSS 7.5) in Unbound DNS-Resolver, die Versionen 1.9.0 bis einschließlich 1.25.1 betrifft. Ein Buffer-Overflow im DNSCrypt-TCP-Pfad ermöglicht Denial-of-Service-Attacken durch manipulierte DNS-Anfragen, die zum Absturz des Resolvers führen.

Betroffene Systeme

Betroffen sind Unbound-Installationen, die folgende Bedingungen erfüllen:

• Versionen 1.9.0 bis 1.25.1
• Kompilierung mit DNSCrypt-Unterstützung (Flag: –enable-dnscrypt)
• Aktivierte dnscrypt:-Konfiguration auf den Listening-Interfaces

Systeme ohne DNSCrypt-Konfiguration sind nicht betroffen.

Technische Details

Die Schwachstelle liegt in der DNSCrypt-Reply-Verschlüsselung für TCP-Verbindungen. Der kritische Unterschied zum UDP-Pfad besteht darin, dass die TCP-Implementierung die Reply-Länge nicht gegen die Zieluffer-Größe validiert.

Bei UDP werden Replies auf 65504 Bytes begrenzt. Diese Größenbegrenzung fehlt im TCP-Implementierungspfad. Wenn eine verschlüsselte DNS-Antwort größer als 65504 Bytes ist, wird diese um 48 Bytes innerhalb des Heap-Buffers verschoben, wodurch ein Buffer-Overflow außerhalb der Allokationsgrenzen auftritt.

Angriffsvektor: Ein entfernter Angreifer sendet eine speziell präparierte DNSCrypt-Anfrage über TCP. Die übergroße Antwort wird fehlerhaft gepuffert und verursacht einen Heap-Overflow, der den Resolver-Prozess zum Absturz bringt.

Empfohlene Massnahmen

• Sofortige Maßnahmen: Deaktivierung der DNSCrypt-Funktionalität in der Unbound-Konfiguration (dnscrypt-Klauseln entfernen)
• Monitoring: Überwachung von Unbound-Prozessabstürzen auf betroffenen Systemen
• Update: Warten auf Patch und sofortige Installation nach Verfügbarkeit
• Netzwerk: Beschränkung von TCP-DNS-Anfragen auf vertrauenswürdige Netzwerkquellen

Bewertung

Die Schwachstelle stellt eine signifikante Bedrohung für betroffene Unbound-Installationen dar. Der CVSS-Score von 7.5 (High) und die Netzwerk-basierte Ausnutzbarkeit erfordern prioritäre Aufmerksamkeit. Die Abhängigkeit von spezieller DNSCrypt-Konfiguration begrenzt die Auswirkungen auf spezifische Deployments. Ein Patch steht derzeit nicht zur Verfügung; Administratoren sollten interim-Maßnahmen implementieren.

„`