远程 Debian 13 主机上安装的程序包受到 dsa-6581 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6581-1 security@debian.org Perez 2026 https://www.debian.org/security/Yves-Alexis 年 10 月 23 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：unbound CVE ID： CVE-2026-35501 CVE-2026-50106 CVE-2026-96405 CVE-2026-97206 CVE-2026-109125

    在验证、递归、缓存 DNS 解析器 Unbound 中发现多种安全漏洞。

    CVE-2026-35501

        （DNSSEC）从攻击者控制的 NSEC 记录中，绕过不安全父项下配置的孤岛信任定位标记。

    CVE-2026-50106

        （DNSSEC）对于不安全父项下配置的孤岛信任定位标记下不存在的记录，可能存在不安全的 NXDOMAIN。

    CVE-2026-96405

        聚合 DNS 名称链式指针解压缩工作导致服务降级。

    CVE-2026-97206

        DNS-over-QUIC 路径迁移可在多线程部署上导致释放后使用，从而导致潜在的拒绝服务。

    CVE-2026-109125

        可能通过“unwanted-reply-threshold”暴露的缓存边信道造成的缓存中毒漏洞。

    对于稳定发行版本 （trixie），已在版本 1.26.2-0+deb13u1 中修复这些问题。

    建议您升级 unbound 程序包。

    如需了解 unbound 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/unbound

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NLnet Labs Unbound 及以下版本 1.26.1 限制了每个单独的域名操作的压缩指针遍历，但是没有总入站解压缩工作预算。消息中的许多链接压缩指针会导致跟随它们的大量 CPU 使用率。拥有递归查询访问权限并控制提供特别构建回复的通常委派颁发机构的恶意执行者可利用此漏洞，并降低 Unbound 的总体性能。（CVE-2026-96405）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，该软件受到 ALAS2023-2026-3313 公告中提及的多个漏洞影响。

    在 NLnet Labs Unbound 及之前版本 1.26.1（含）中，可通过“unwanted-reply-threshold > 0”配置（非默认配置）暴露可观察的缓存级别边信道。如果类响应的 UDP 数据报到达递归查询当前使用的上游源端口，但其 TXID 不匹配任何待定查询，Unbound 会将该数据包计为不需要的回复。当累计计数达到配置的阈值时，Unbound 会清除工作线程的 RRset 缓存和消息缓存。此缓存清除操作不会破坏当前上游 UDP 待定查询。因此，外部观察者可以通过检查现有缓存项目是否已被清除，来区分候选端口是否匹配当前的上游源端口。这是可用于探测上游源端口的缓存边信道漏洞。尽管该攻击在默认配置中不可行，并且建议的值（1000 万）使其成为对公共解析器的不可靠攻击，但在攻击者可以保持并发查询窗口处于活动状态的情况下，攻击者可首先过滤源端口，然后对 TXID 执行生日式猜测，从而使缓存中毒成为可行的攻击路径。
    (CVE-2026-109125)

    当 NLnet Labs Unbound 1.0.1 及其之前版本 1.26.1 针对父项在根链下被证明不安全的安全孤岛区域同时配置了根信任锚和额外的“trust-anchor：”时，恶意执行者可通过伪造的 NSEC 回复（SOA 位已清除）诱骗 Unbound 将已配置的信任岛视为不安全。此漏洞发生的原因在于 Unbound 中的 DNSSEC 验证器接受并缓存 NSEC 不安全响应，从而绕过验证器应执行的 RRSIG 验证。由于存在针对该名称的信任定位标记时来自客户端的 DS 和 NSEC 查询类型进行了旧修复，允许接受信任定位标记顶点的 NSEC 记录。（CVE-2026-35501）

    当 NLnet Labs Unbound 及之前版本 1.26.1 为安全孤岛区域（其父项在根链下可证明不安全）配置了根信任锚和额外的“trust-anchor：”时，恶意执行者可为孤岛内的名称提供一个伪造的 NXDOMAIN 响应，并将 NSEC/SOA RRSIG“SignerName”设置为不安全的父项， 欺骗 Unbound 的验证器改用根信任定位标记，并连续使用不安全的父项，从而造成该记录被视为不安全并拒绝信任孤岛中的记录存在。（CVE-2026-50106）

    NLnet Labs Unbound 及之前版本（含版本 1.26.1 ）限制了每个单独域名操作的压缩指针遍历，但没有总入站解压缩工作预算。消息中的许多链接压缩指针会导致跟随它们的大量 CPU 使用率。拥有递归查询访问权限并控制提供特别构建回复的通常委派颁发机构的恶意执行者可利用此漏洞，并降低 Unbound 的总体性能。（CVE-2026-96405）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
371252	Debian dsa-6581：libunbound-dev - 安全更新	Nessus	Debian Local Security Checks	2026/10/23	2026/10/23	medium
370024	Linux Distros 未修补的漏洞：CVE-2026-96405	Nessus	Misc.	2026/10/21	2026/10/24	medium
371837	Amazon Linux 2023：python3-unbound、unbound、unbound-anchor (ALAS2023-2026-3313)	Nessus	Amazon Linux Local Security Checks	2026/10/25	2026/10/25	medium

检测

插件搜索

medium

medium

medium