VULNERABILIDAD
CVE-2026-35501 Evasión de ancla de confianza de isla en Unbound mediante NSEC falsificado
En NLnet Labs Unbound desde 1.0.1 hasta la versión 1.26.1 inclusive, con un ancla de confianza raíz y un 'trust-anchor:' adicional para una zona isla de seguridad cuyo padre es demostrablemente inseguro bajo la cadena raíz, un actor malicioso con una respuesta NSEC falsificada con el bit SOA en cero puede hacer que Unbound trate la isla de confianza configurada como insegura. El validador DNSSEC acepta y almacena en caché la respuesta insegura NSEC omitiendo la validación RRSIG.
Alerta de Nureq Monitor
Detectada 21 OCT · 06:23
CVSS 3.1
3.7BAJAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,1 % PERCENTIL 1
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-35501
En NLnet Labs Unbound desde 1.0.1 hasta la versión 1.26.1 inclusive, con un ancla de confianza raíz y un 'trust-anchor:' adicional para una zona isla de seguridad cuyo padre es demostrablemente inseguro bajo la cadena raíz, un actor malicioso con una respuesta NSEC falsificada con el bit SOA en cero puede hacer que Unbound trate la isla de confianza configurada como insegura. El validador DNSSEC acepta y almacena en caché la respuesta insegura NSEC omitiendo la validación RRSIG.
Productos y versiones afectadas
NLnet Labs Unbound
Qué hacer
- Verificá si usás Unbound y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 3.7 BAJA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Alta
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Ninguna
- INTEGRIDAD (I)
- Baja
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
When NLnet Labs Unbound 1.0.1 up to and including version 1.26.1 is configured with both a root trust anchor and an additional 'trust-anchor:' for an island-of-security zone whose parent is provably insecure under the root chain, a malicious actor with a forged NSEC reply with the SOA bit cleared can trick Unbound to treat the configured trust island as insecure. This happens because the DNSSEC validator in Unbound accepts and caches the NSEC insecure response bypassing the RRSIG validation that the validator was supposed to do. The acceptance of the NSEC record at the trust anchor apex was allowed due to and old fix for type DS and NSEC queries from clients when trust anchor for that name existed.
Referencias
- www.nlnetlabs.nl/downloads/unbound/CVE-2026-35501.txtVENDOR-ADVISORY
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.