Se ha descubierto una vulnerabilidad crítica de desbordamiento de búfer en el validador DNSSEC del resolutor DNS Unbound, identificada como CVE-2026-81642. Esta falla afecta a todas las versiones de Unbound anteriores a la 1.26.1 y podría permitir a un atacante ejecutar código de forma remota (RCE) o provocar una denegación de servicio (DoS) al interactuar con un servidor DNS vulnerable.
La vulnerabilidad principal (CVE-2026-81642) es un desbordamiento de búfer de montón que se activa cuando el validador procesa un registro DNSKEY cuya sección del nombre de propietario utiliza un puntero de compresión hacia sus propios datos. Esto puede ser explotado por un atacante que controle una zona DNS maliciosa y logre que un resolutor vulnerable realice una consulta. NLnet Labs ha calificado esta falla como Crítica con un puntaje CVSS de 9.1, destacando un vector de ataque de red sin necesidad de privilegios o interacción del usuario. Además de esta, se han corregido otras ocho fallas, incluyendo CVE-2026-82717, otro error de corrupción de montón en la síntesis de CNAME que también podría llevar a ejecución remota de código en ciertas configuraciones.
Todas las versiones de Unbound hasta la 1.26.0 inclusive están afectadas. La corrección se ha implementado en la versión 1.26.1, lanzada el mismo día del aviso. NLnet Labs no ha reportado explotación activa de estas vulnerabilidades hasta la fecha. Es importante destacar que estas fallas pueden provocar desde degradación del servicio hasta una denegación de servicio completa, y en los casos más graves, la ejecución de código arbitrario por parte de un atacante.
La acción más recomendada y efectiva es actualizar inmediatamente a Unbound versión 1.26.1. Esta versión ya incorpora todos los parches necesarios. Para quienes no puedan actualizar de inmediato, NLnet Labs ha proporcionado parches específicos para el árbol de código fuente, tanto para la CVE-2026-81642 de forma individual como un parche combinado que aborda las nueve vulnerabilidades corregidas. Es fundamental que las organizaciones revisen sus implementaciones de Unbound y apliquen las actualizaciones o parches correspondientes sin demora.
Qué significa para tu empresa: Un resolutor DNS comprometido puede ser un punto de entrada crítico para atacantes, afectando la disponibilidad de servicios y la seguridad general de la red. Una falla como esta subraya la importancia de mantener todos los componentes de su infraestructura TI actualizados y monitoreados. Con un SOC con monitoreo 24/7, su organización puede detectar patrones de tráfico anómalos o intentos de explotación de vulnerabilidades en tiempo real, permitiendo una respuesta rápida y minimizando el impacto potencial de amenazas de este tipo. Es vital una gestión proactiva de parches y una visibilidad constante de la red para proteger sus activos críticos.
Fuente original: The Hacker News — ver artículo →