Una vulnerabilidad crítica en el validador DNSSEC de Unbound podría permitir la ejecución remota de código a través de una zona DNS maliciosa

La or­ga­ni­za­ción NLnet Labs ad­vir­tió sobre una falla de des­bor­da­mien­to de búfer en el heap den­tro del va­li­da­dor DNSSEC, la cual afec­ta a todas las ver­sio­nes del re­sol­ve­dor Un­bound an­te­rio­res a la 1.26.1. Esta vul­ne­ra­bi­li­dad puede ser ex­plo­ta­da por un ata­can­te que ges­tio­ne una zona ma­li­cio­sa para lo­grar la eje­cu­ción re­mo­ta de có­di­go al rea­li­zar con­sul­tas al soft­wa­re vul­ne­ra­ble.

Junto con este pro­ble­ma prin­ci­pal, la ver­sión 1.26.1 so­lu­cio­na otros ocho fa­llos, entre los cua­les des­ta­ca un error de co­rrup­ción de me­mo­ria en la sín­te­sis de CNAME que tam­bién po­dría per­mi­tir la eje­cu­ción re­mo­ta de có­di­go en sis­te­mas es­pe­cí­fi­cos. Hasta el mo­men­to, los res­pon­sa­bles del de­sa­rro­llo no tie­nen cons­tan­cia de que nin­gu­na de estas vul­ne­ra­bi­li­da­des haya sido ex­plo­ta­da ac­ti­va­men­te.

Para mi­ti­gar estos ries­gos, se re­co­mien­da ac­tua­li­zar a la nueva ver­sión o apli­car los par­ches co­rres­pon­dien­tes di­rec­ta­men­te sobre el có­di­go fuen­te uti­li­zan­do las ins­truc­cio­nes pro­vis­tas. Ade­más, la ac­tua­li­za­ción in­clu­ye cam­bios en la con­fi­gu­ra­ción por de­fec­to res­pec­to a la va­li­da­ción de datos DNSSEC en las sec­cio­nes adi­cio­na­les de las res­pues­tas.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las des­crip­cio­nes téc­ni­cas com­ple­tas de los otros siete CVE in­clui­dos en el pa­que­te de co­rrec­cio­nes, ni sobre el im­pac­to exac­to en todas las dis­tri­bu­cio­nes de Linux más allá de los es­ta­dos men­cio­na­dos.