Software-update: Unbound 1.25.1

Als je een DNS-look-up uitvoert, begint een recursor in eerste instantie met het stellen van de look-upvraag aan een DNS-rootserver. Deze kan dan doorverwijzen naar andere servers, vanaf waar weer doorverwezen kan worden naar andere servers enzovoort, totdat uiteindelijk een server is bereikt die het antwoord weet, of weet dat de look-up niet mogelijk is. Van dit laatste kan sprake zijn als de naam niet bestaat of de servers niet reageren. Het proces van het langslopen van verschillende authoritative servers heet recursie. Unbound is een DNS-recursor met ondersteuning voor moderne standaarden, zoals Query Name Minimisation, Aggressive Use of Dnssec-Validated Cache en authority zones. Versie 1.25.1 is verschenen en hierin zijn de volgende verbeteringen aangebracht:

Bug Fixes

• Fix CVE-2026-33278, Possible remote code execution during DNSSEC validation.
• Fix CVE-2026-42944, Heap overflow and crash with multiple nsid, cookie, padding EDNS options.
• Fix CVE-2026-42959, Crash during DNSSEC validation of malicious content.
• Fix CVE-2026-32792, Packet of death with DNSCrypt.
• Fix CVE-2026-40622, "Ghost domain name" variant.
• Fix CVE-2026-41292, Parsing a long list of incoming EDNS options degrades performance.
• Fix CVE-2026-42534, Jostle logic bypass degrades resolution performance.
• Fix CVE-2026-42923, Degradation of service with unbounded NSEC3 hash calculations.
• Fix CVE-2026-42960, Possible cache poisoning attack while following delegation.
• Fix CVE-2026-44390, Unbounded name compression in certain cases causes degradation of service.
• Fix CVE-2026-44608, Use after free and crash in RPZ code.

Versienummer	1.25.1
Releasestatus	Final
Besturingssystemen	Linux, BSD, macOS, Solaris, Windows 10, Windows Server 2016, Windows Server 2019, Windows 11, Windows Server 2022, Windows Server 2025
Website	Stichting NLnet Labs
Download	https://nlnetlabs.nl/projects/unbound/download/
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (12)

[Snow_King]

Goed om te weten, deze update is er voor CVE-2026-33278 welke een CVSS score van 9.8 heeft. Je wil snel patchen!

[c-nan]

Als ze de 100% cpu usage probleem ook ooit gaan oplossen dan ben ik echt blij en zal ik hartstikke snel patchen

[lenwar]

Klopt, maar bij thuisgebruik valt het in de praktijk mee.

• De aanvaller moet een DNS-zone hebben opgetuigd
• De aanvaller moet een malafide query naar je Unbound-service toesturen (richting die DNS-zone)
• Daarna moet de aanvaller DS-subqueries laten plaatsvinden

In de praktijk crasht unbound, en in het slechtste geval kan de aanvaller als de unbound-user commando’s uitvoeren. (En die heeft bij een correcte installatie geen speciale privileges.)

De manier misbruiken is technisch niet ingewikkeld, maar de thuis-installaties zullen veelal niet het primaire doel zijn, als die al vanuit buitenaf te benaderen zijn.

Desalniettemin is het altijd een goed idee om snel te patchen 😊

[MeNTaL_TO]

Zowel in pihole als mijn LXC versie voor Ad Guard krijg ik de volgende opmerking

unbound is already the newest version (1.22.0-2+deb13u2).

Volgens het script dat ik gebruikt heb, zou versie 125.1 geinstalleerd moeten zijn en is de LXC updateable

https://community-scripts.org/scripts/unbound?id=unbound

Ik heb gisteren pas de LXC geinstalleerd, dus verbaas me dat versie 1.22 actief is.
Iemand anders wel gelukt om te updaten binnen proxmox?

[commentator]

als je gebruik maakt van de debian repo zul je wel nog even moeten wachten tot ze het daar ook verwerkt hebben

[xxs]

Mijn pihole op Proxmox geeft ook 1.22.0-2+deb13u2

[Zjemm]

security patches zouden op debian ook snel moeten gaan toch?


anyhow, als unbound je lokale resolver is naar het internet, maar niet publiekelijk te benaderen is, zou de impact mee moeten vallen?

[RobertMe]

En hoe werkt die lokale resolver? Die zal nog steeds verbinding met de buitenwereld leggen. Mogelijk (/waarschijnlijk?) dat die CVEs vervolgens gerelateerd zijn aan data die Unbound ophaalt van een andere server.

Vervolgens is het natuurlijk de vraag hoe groot de kans is dat je een DNS record opzoekt dat zo'n kwetsbaarheid misbruikt. (Wat ook al kan komen door een advertentie op een website die je bezoekt bv).

[jumbos7]

De kwetsbaarheid wordt als ik het goed begrijp uitgebuit doordat een aanvaller bij je unbound server een DNS record opvraagt, niet als je via Unbound zelf een DNS record opzoekt. Als Unbound niet open staat voor externe verzoeken ben je dus enkel kwetsbaar voor lokale verzoeken en moet een aanvaller dus eerst toegang hebben tot je lokale netwerk. De impact valt dus wel degelijk zoals @Zjemm vermoed heel erg mee. Maar wellicht zie ik iets over het hoofd.

[Reactie gewijzigd door jumbos7 op 22 mei 2026 16:28]

[Bontje Blauw]

Op Ubuntu Server 24.0.4.4 LTS zit hij nog niet bij de update patches.
Zal ik dus handmatig moeten updaten.

Ik zit nog op versie 1.19.2
unbound/noble-updates,noble-security,now 1.19.2-1ubuntu3.8 amd64 [installed]

[sfranken]

Als je de repos volgt zul je heel even moeten wachten tot de build daar ook is gedaan en is gepushed naar alle servers. Duurt meestal een dag (of 2)

[jumbos7]

Als je alleen zelf gebruik maakt van unbound en geen externe queries toe staat heeft het denk ik sowieso geen haast. Ik weet ook niet of je 1.25.1 zelf kunt compilen zonder tegen allerlei andere dependencies aan te lopen die nog niet in Ubuntu 24.0.4 LTS zitten. Ik zou als het even kan dus gewoon wachten totdat de versie in je repo wordt geupdate.