مرّ Unbound، محلِّل DNS الذي يتحقق من DNSSEC ويخزّن الإجابات مؤقتًا من تطوير NLnet Labs، بعام مزدحم بالثغرات. فقد أصدرت ديبيان ثلاثة تحديثات لديبيان 13 (trixie): DSA-6304-1 في مايو، وDSA-6507-1 في سبتمبر، وDSA-6581-1 في 23 أكتوبر 2026. وتعالج مجتمعةً 49 ثغرة، منها أخطاء في سلامة الذاكرة داخل مدقق DNSSEC تقول NLnet Labs إنها قد تسمح بتنفيذ تعليمات برمجية عن بُعد.
في المقابل لم يصل ديبيان 12 (bookworm) أي تحديث لـ Unbound في هذه الجولات، وحتى 31 أكتوبر 2026 يعرض متتبّع الأمان في ديبيان نسخة bookworm على أنها متأثرة بها جميعًا.
نظرة سريعة
| النشرة | التاريخ | عدد الثغرات | الإصدار المُصلَح على trixie |
|---|---|---|---|
| DSA-6304-1 | 27 مايو 2026 | 11 | 1.22.0-2+deb13u3 |
| DSA-6507-1 | 19 سبتمبر 2026 | 34 | 1.26.1-0+deb13u1 |
| DSA-6581-1 | 23 أكتوبر 2026 | 5 | 1.26.2-0+deb13u1 |
الحزمة المصدرية unbound، ومن حزمها الثنائية unbound وlibunbound8 وunbound-anchor وunbound-host وpython3-unbound. الخطورة: حرجة (درجة CVSS 4.0 تبلغ 9.1 لثغرتين بحسب NLnet Labs). أما bookworm فلا توجد له حزمة مُصلَحة.
ما هي هذه الثغرات؟
مايو: DSA-6304-1
وصفت ديبيان الثغرات الإحدى عشرة بأنها قد تؤدي إلى حجب الخدمة أو تسميم الذاكرة المؤقتة أو ربما تنفيذ تعليمات برمجية. أخطرها CVE-2026-33278 (الدرجة 9.1)، وهو خلل في المؤشرات داخل مدقق DNSSEC يتيح لمهاجم يتحكم في منطقة موقّعة خبيثة، ويدفع Unbound إلى الاستعلام عنها، أن يسبب توقف الخدمة أو ربما تنفيذ تعليمات برمجية، وتذكر NLnet Labs أنه يخص الإصدارات من 1.19.1 إلى 1.25.0. أما CVE-2026-42944 (الدرجة 8.7) فهو تجاوز لسعة الذاكرة في الكومة عندما يحمل الاستعلام عدة خيارات NSID أو DNS Cookie أو EDNS Padding، علمًا بأن حشو الإجابات مفعّل افتراضيًا.
سبتمبر: DSA-6507-1
هذه أكبر الجولات بـ 34 ثغرة، لخّصت ديبيان أثرها بحجب الخدمة أو تسميم الذاكرة المؤقتة أو تجاوز DNS Cookie أو ربما تنفيذ تعليمات برمجية. وأبرزها اثنتان:
- CVE-2026-81642 (الدرجة 9.1): سجل DNSKEY مصمَّم قد يتجاوز سعة مخزن مؤقت في المدقق. وتقول NLnet Labs إن تنفيذ التعليمات البرمجية عن بُعد ممكن، وإن كل ما يحتاجه المهاجم هو التحكم في منطقة خبيثة وجعل Unbound يستعلم عنها. وتشمل كل الإصدارات حتى 1.26.0.
- CVE-2026-82717 (الدرجة 8.4): إتلاف لذاكرة الكومة ينشأ من تركيب سجلات CNAME مع مؤشر ضغط، ويؤدي إلى التوقف، وقد يصل على بعض الأنظمة وخيارات البناء إلى تنفيذ تعليمات برمجية.
وهناك ثغرات أخرى في هذه الجولة لا تنطبق إلا عند تفعيل ميزات اختيارية مثل DNS-over-QUIC أو DNS-over-HTTPS أو DNSCrypt.
أكتوبر: DSA-6581-1
خمسة إصلاحات: مشكلتان في DNSSEC تتعلقان بمرساة ثقة لمنطقة معزولة تحت أصل غير آمن (CVE-2026-35501 وCVE-2026-50106)، وعمل غير محدود في فك ضغط الأسماء يُضعف الخدمة (CVE-2026-96405)، وخلل استخدام بعد التحرير في DNS-over-QUIC على الإعدادات متعددة الخيوط (CVE-2026-97206)، وقناة جانبية في الذاكرة المؤقتة قد تمهّد للتسميم عند ضبط unwanted-reply-threshold، وهو إعداد غير افتراضي (CVE-2026-109125).
لا توجد أي من الثغرات التسع والأربعين في فهرس CISA للثغرات المستغلة فعليًا (نسخة 30 أكتوبر 2026).
هل أنت متأثر؟
dpkg-query -W -f='${Package} ${Version}\n' 'unbound*' libunbound8
apt policy unbound
systemctl is-active unbound
sudo grep -rnE 'interface:|access-control|quic-port|https-port|dnscrypt|unwanted-reply-threshold|trust-anchor' /etc/unbound/أنظمة trixie الأقدم من 1.26.2-0+deb13u1 لا تحمل إصلاحات أكتوبر على الأقل. أما كل إصدارات bookworm فمدرجة على أنها متأثرة. وتُظهر نطاقات الإصدارات لدى NLnet Labs أن بعض الثغرات لا تصل إلى Unbound 1.17.1 الموجود في bookworm (فـ CVE-2026-33278 يبدأ من 1.19.1، وثغرات QUIC من 1.22.0)، لكن غيرها، ومنها CVE-2026-81642، يشمل جميع الإصدارات.
طريقة التحديث
على ديبيان 13 (trixie):
sudo apt update
sudo apt install --only-upgrade unbound libunbound8 unbound-anchor unbound-host python3-unbound
sudo unbound-checkconf
apt policy unboundتنقل الحزم المُصلَحة trixie من الإصدار الأصلي 1.22.0 إلى 1.26.x، وهي قفزة أكبر من المعتاد في تحديثات الإصدار المستقر، لذا يستحسن تشغيل unbound-checkconf قبل إعادة تشغيل الخدمة.
وعلى ديبيان 12 (bookworm) لا توجد حزمة مُصلَحة. يجيب Unbound افتراضيًا على النطاق 127.0.0.0/8 فقط، فأبقِ access-control بهذا التضييق أو مقصورًا على شبكاتك. غير أن ذلك لا يلغي الخطر، لأن المحلِّل المحلي يظل يستعلم عن أسماء يختارها أطراف خارجية، مثل نطاقات المرسلين على خادم البريد. خطط للانتقال إلى trixie وتابع صفحة المتتبّع بانتظار نشرة DLA.
هل يلزم إعادة التشغيل؟
لا حاجة إلى إعادة تشغيل الخادم. أعد تشغيل المحلِّل، ثم أي خدمة أخرى تحمّل المكتبة libunbound8، وتعرض أداة needrestart قائمتها:
sudo systemctl restart unbound
unbound -V | head -1
sudo needrestart -r lالمصادر
- security-tracker.debian.org/tracker/DSA-6581-1
- debian.org/security/2026/dsa-6581
- lists.debian.org/debian-security-announce/2026/msg00497.html
- security-tracker.debian.org/tracker/DSA-6507-1
- debian.org/security/2026/dsa-6507
- lists.debian.org/debian-security-announce/2026/msg00419.html
- security-tracker.debian.org/tracker/DSA-6304-1
- debian.org/security/2026/dsa-6304
- lists.debian.org/debian-security-announce/2026/msg00215.html
- security-tracker.debian.org/tracker/source-package/unbound
- nlnetlabs.nl/projects/unbound/security-advisories
- nlnetlabs.nl/downloads/unbound/CVE-2026-81642.txt
- nlnetlabs.nl/downloads/unbound/CVE-2026-33278.txt
- nlnetlabs.nl/downloads/unbound/CVE-2026-109125.txt
- cve.org/CVERecord?id=CVE-2026-81642
- cve.org/CVERecord?id=CVE-2026-33278
- cve.org/CVERecord?id=CVE-2026-82717
- cve.org/CVERecord?id=CVE-2026-42944
- cisa.gov/known-exploited-vulnerabilities-catalog
- packages.debian.org/source/trixie/unbound
- manpages.debian.org/trixie/unbound/unbound.conf.5.en.html
- manpages.debian.org/trixie/unbound/unbound.8.en.html
- manpages.debian.org/trixie/needrestart/needrestart.1.en.html
Comments
0 total · 0 threads