VULNERABILIDAD
CVE-2026-50106 Validación insegura de NXDOMAIN en Unbound con trust anchor de isla bajo padre inseguro
En Unbound hasta la versión 1.26.1, si se configura un trust anchor raíz y otro para una zona isla cuyo padre es demostrablemente inseguro, un atacante que entregue una respuesta NXDOMAIN falsificada con el SignerName de la RRSIG NSEC/SOA apuntando al padre inseguro logra que el validador use el trust anchor raíz y luego el padre inseguro, tratando el registro como inseguro y negando la existencia de registros de la isla.
Alerta de Nureq Monitor
Detectada 21 OCT · 06:23
CVSS 3.1
6.5MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 9
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-50106
En Unbound hasta la versión 1.26.1, si se configura un trust anchor raíz y otro para una zona isla cuyo padre es demostrablemente inseguro, un atacante que entregue una respuesta NXDOMAIN falsificada con el SignerName de la RRSIG NSEC/SOA apuntando al padre inseguro logra que el validador use el trust anchor raíz y luego el padre inseguro, tratando el registro como inseguro y negando la existencia de registros de la isla.
Productos y versiones afectadas
NLnet Labs Unbound
Qué hacer
- Verificá si usás Unbound y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Alta
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Ninguna
- INTEGRIDAD (I)
- Baja
- DISPONIBILIDAD (A)
- Alta
Abrir la calculadora completa →
Descripción original
When NLnet Labs Unbound up to and including version 1.26.1 is configured with both a root trust anchor and an additional 'trust-anchor:' for an island-of-security zone whose parent is provably insecure under the root chain, a malicious actor who can deliver one forged NXDOMAIN response for a name inside the island, with the NSEC/SOA RRSIG 'SignerName' set to the insecure parent, tricks Unbound's validator to use the root trust anchor instead, and consecutively the insecure parent, thus causing that record to be treated as insecure and denying existence for records in the trust island.
Referencias
- www.nlnetlabs.nl/downloads/unbound/CVE-2026-50106.txtVENDOR-ADVISORY
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.