远程主机上安装的 unbound 版本低于 1.17.0-2。因此，该工具受到 ALAS2UNBOUND-1.17-2026-011 公告中提及的多个漏洞影响。

    在 NLnetLabs Unbound 及之前 1.26.0版本中，没有连续读取限制的 TCP/DoT 读取过程中存在服务降级漏洞。恶意执行者可以通过 TCP/DoT 连接流式传输并维持一定速率的不同未缓存名称，只要其写入保持在消耗之前，就会独占单个工作线程的整个事件循环。（CVE-2026-80225）

    在 NLnet Labs Unbound （含） 1.26.0中，具有大型 TCP 响应的 255 长度查询名称可在 RRSet 规范化例程期间导致堆缓冲区溢出。造成此缺陷的原因是未将第一个所有者名称添加到缓冲区长度检查中。操作恶意名称服务器或篡改传入 Unbound 响应（规范化在 DNSSEC 验证之前发生）的恶意执行者可触发此漏洞。（CVE-2026-81634）

    在 NLnet Labs Unbound 及之前 1.26.0版本中发现一个漏洞，在某些系统和编译选项下可逐步损坏堆内存，会导致远程代码执行。
    当上游响应期间的 CNAME 合成需要在数据包缓冲区中强制执行（重写）最大 TTL 值时，此漏洞就会开始。结合指向覆盖值并使域名失效的压缩指针，会导致错误路径，无法正确移动缓冲区位置，并导致堆缓冲区溢出。由于这在很大程度上依赖于堆内存布局，结果是内存损坏最终导致崩溃，并在特定系统和编译选项下远程执行代码。（CVE-2026-82717）

    已经在术语“ReTrap”下研究了对 DNSSEC 发起算法复杂性攻击的新漏洞。当恶意区域用于服务算法复杂性漏洞时，这些漏洞会导致服务降级。NLnet Labs Unbound 及 1.26.0 之前版本及之前版本容易受到其中某些版本的影响。TagTrap，其中 triple（Zone， Algo， KeyTag） 匹配机制在解析器处理包含大量不匹配的 DNSKEY、RRSIG 和 DS 记录的恶意响应时引入了重要的攻击载体。DelegationTrap，其中构建信任链需要对 DNSKEY 和 DS 记录进行从根区域向下的迭代验证。对于深度嵌套的域，这会导致大量的计算开销。NsecTrap，其中具有过多无效 NSEC 记录的响应会强制解析器验证每个记录。AdditionalTrap，其中默认的 Unbound 也将尝试 DNSSEC 验证 ADDITIONAL 部分。这可能被恶意用户利用来浪费验证资源。（CVE-2026-85501）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2：unbound (ALASUNBOUND-1.17-2026-011)

critical Nessus 插件 ID 351053

版本 1.2

版本 1.1

版本 1.2 Oct 2, 2026, 11:09 PM Plugin metadata (Add IAVM Info) Plugin Feed: 202610022309
版本 1.1 Sep 29, 2026, 4:08 PM New Plugin Feed: 202609291608