CVE-2026-50251: Luka w NLnet Labs Unbound umożliwiająca niekończące się czyszczenie pamięci podręcznej

Co wiadomo

W NLnet Labs Unbound do wersji 1.25.1 włącznie, włączenie opcji 'unwanted-reply-threshold' umożliwia atakującemu wywołanie niekończącego się czyszczenia pamięci podręcznej poprzez manipulację rekordami glue 0.0.0.0/::0. Atak wykorzystuje różnicę w adresach IP źródłowych, co powoduje błędne oznaczenie odpowiedzi jako niechcianej i ciągłe resetowanie licznika.

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko ciągłego usuwania danych z pamięci podręcznej DNS, co może prowadzić do zwiększonego obciążenia serwerów, opóźnień w rozwiązywaniu nazw oraz potencjalnych przerw w dostępności usług. Atak nie wymaga wysyłania sfałszowanych pakietów, co utrudnia jego wykrycie i blokowanie.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji od NLnet Labs i ich szybkie wdrożenie. W międzyczasie warto ograniczyć ekspozycję serwera Unbound na ruch z nieznanych źródeł, monitorować logi pod kątem nietypowych zapytań DNS oraz rozważyć tymczasowe wyłączenie opcji 'unwanted-reply-threshold' jeśli to możliwe. Priorytetowo traktuj aktualizacje zabezpieczeń i audyt konfiguracji DNS.

Źródła

• NVD
• Reference