因此，该软件受到 ALAS2023-2026-3313 公告中提及的多个漏洞影响。

    在 NLnet Labs Unbound 及之前版本 1.26.1（含）中，可通过“unwanted-reply-threshold > 0”配置（非默认配置）暴露可观察的缓存级别边信道。如果类响应的 UDP 数据报到达递归查询当前使用的上游源端口，但其 TXID 不匹配任何待定查询，Unbound 会将该数据包计为不需要的回复。当累计计数达到配置的阈值时，Unbound 会清除工作线程的 RRset 缓存和消息缓存。此缓存清除操作不会破坏当前上游 UDP 待定查询。因此，外部观察者可以通过检查现有缓存项目是否已被清除，来区分候选端口是否匹配当前的上游源端口。这是可用于探测上游源端口的缓存边信道漏洞。尽管该攻击在默认配置中不可行，并且建议的值（1000 万）使其成为对公共解析器的不可靠攻击，但在攻击者可以保持并发查询窗口处于活动状态的情况下，攻击者可首先过滤源端口，然后对 TXID 执行生日式猜测，从而使缓存中毒成为可行的攻击路径。
    (CVE-2026-109125)

    当 NLnet Labs Unbound 1.0.1 及其之前版本 1.26.1 针对父项在根链下被证明不安全的安全孤岛区域同时配置了根信任锚和额外的“trust-anchor：”时，恶意执行者可通过伪造的 NSEC 回复（SOA 位已清除）诱骗 Unbound 将已配置的信任岛视为不安全。此漏洞发生的原因在于 Unbound 中的 DNSSEC 验证器接受并缓存 NSEC 不安全响应，从而绕过验证器应执行的 RRSIG 验证。由于存在针对该名称的信任定位标记时来自客户端的 DS 和 NSEC 查询类型进行了旧修复，允许接受信任定位标记顶点的 NSEC 记录。（CVE-2026-35501）

    当 NLnet Labs Unbound 及之前版本 1.26.1 为安全孤岛区域（其父项在根链下可证明不安全）配置了根信任锚和额外的“trust-anchor：”时，恶意执行者可为孤岛内的名称提供一个伪造的 NXDOMAIN 响应，并将 NSEC/SOA RRSIG“SignerName”设置为不安全的父项， 欺骗 Unbound 的验证器改用根信任定位标记，并连续使用不安全的父项，从而造成该记录被视为不安全并拒绝信任孤岛中的记录存在。（CVE-2026-50106）

    NLnet Labs Unbound 及之前版本（含版本 1.26.1 ）限制了每个单独域名操作的压缩指针遍历，但没有总入站解压缩工作预算。消息中的许多链接压缩指针会导致跟随它们的大量 CPU 使用率。拥有递归查询访问权限并控制提供特别构建回复的通常委派颁发机构的恶意执行者可利用此漏洞，并降低 Unbound 的总体性能。（CVE-2026-96405）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023：python3-unbound、unbound、unbound-anchor (ALAS2023-2026-3313)

medium Nessus 插件 ID 371837

版本 1.1