AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2026：1790962865公告中提及的多个漏洞的影响。

  - 在 NLnet Labs Unbound 1.13.2 及之前（含） 1.26.1中，ZONEMD 配置的区域 （zonemd-check： yes） 中的漏洞位于信任锚下方（但不在信任锚上），允许在 ZONEMD 完整性检查之前提供（篡改）区域内容（或存储到磁盘）的攻击窗口。这是由于需要在 ZONEMD 检查完成之前发生的 DS/DNSKEY 异步解析所致。如果在 ZONEMD 检查失败时将区域文件写入磁盘（zonefile： 选项），则在启动时重新加载被篡改的数据，并且在 ZONEMD 验证再次结束之前一直有效。如果验证失败，则不会再提供数据，但仍会保留在磁盘上以供将来重新加载。（CVE-2026-77955）

  - NLnet Labs Unbound 1.12.0 及之前 1.26.0 版本在针对包含 '' 的--with-libnghttp2 DNS-over-HTTP 支持进行编译时存在一个释放后使用漏洞。在失败代码路径（即 RPZ 丢弃查询、由于大流量造成的推挤）期间，丢弃的 DoH 流会关闭整个 DoH 会话，并且未正确考虑同一会话中的其他 DoH 流。这会导致这些代码路径中的释放后使用。如果满足先决条件（可能的 RPZ 下降或客户端流量过大），恶意执行者可通过单一 DoH 连接和适当的流量触发漏洞。影响有限，因为读取不受用户控制，而且释放后使用会导致提早返回。但是，强化分配器可以捕获释放后使用，并可控地终止进程，从而导致拒绝服务。
    (CVE-2026-82720)

  - 已在术语“ReTrap”下研究了对 DNSSEC 发起算法复杂性攻击的新漏洞。当恶意区域用于服务算法复杂性漏洞时，这些漏洞会导致服务降级。NLnet Labs Unbound 及 1.26.0 之前版本及之前版本容易受到其中某些版本的影响。TagTrap，其中 triple（Zone， Algo， KeyTag） 匹配机制在解析器处理包含大量不匹配的 DNSKEY、RRSIG 和 DS 记录的恶意响应时引入了重要的攻击载体。DelegationTrap，其中构建信任链需要对 DNSKEY 和 DS 记录进行从根区域向下的迭代验证。对于深度嵌套的域，这会导致大量的计算开销。NsecTrap，其中具有过多无效 NSEC 记录的响应会强制解析器验证每个记录。AdditionalTrap，其中默认的 Unbound 也将尝试 DNSSEC 验证 ADDITIONAL 部分。这可能被恶意用户利用来浪费验证资源。（CVE-2026-85501）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

AlmaLinux 9.2 [TuxCare] 安全更新：python3-unbound / unbound / unbound-devel / unbound-libs 多个漏洞（ALMALINUX9.2：CLSA-2026：1790962865）

high Nessus 插件 ID 362706

版本 1.1

检测

AlmaLinux 9.2 [TuxCare] 安全更新：python3-unbound / unbound / unbound-devel / unbound-libs 多个漏洞 （ALMALINUX9.2：CLSA-2026：1790962865）

high Nessus 插件 ID 362706

版本 1.1

AlmaLinux 9.2 [TuxCare] 安全更新：python3-unbound / unbound / unbound-devel / unbound-libs 多个漏洞（ALMALINUX9.2：CLSA-2026：1790962865）