CVE-2026-33278

NLnet Labs Unbound 1.19.1 versiyasından 1.25.0 versiyasına qədər olan versiyalarda DNSSEC validatorunda məlumat strukturunun dərin surətləndirilməsi (deep copy) və təyinat göstəricisinin (destination pointer) səhvən üzərinə yazılması nəticəsində xidmətdən imtina və mümkün uzaqdan kodun icrasına şərait yaradan zəiflik mövcuddur. Hücumçu bədxah imzalanmış zonanı idarə etməklə və zəifliyi olan Unbound-a sorğular göndərməklə bu boşluqdan istifadə edə bilər. DS alt-sorğuları NSEC3 hesablama büdcətinin tükənməsi səbəbindən validasiyanı dayandırmalı olduqda (Unbound 1.19.1 versiyasında tətbiq edilmişdir), Unbound yaddaş bölgəsinin ləğv edilməsi zamanı cavab mesajlarını qorumaq üçün onları dərin surətləndirir. Struktur mənimsətmə xətası təyinat göstəricisini mənbənin göstəricisi ilə əvəz edir. Alt-sorğu bölgəsi azad edildikdən sonra bərpa olunmuş validator bu asılı qalmış göstəricini (dangling pointer) istifadə edir ki, bu da sistemin çökməsinə və ya potensial olaraq ixtiyari kodun icrasına səbəb olur. Unbound 1.25.1 versiyası məlumat strukturu dərin surətləndirilərkən düzgün göstəricinin qorunmasını təmin edən düzəliş paketini ehtiva edir.