NLnet Labs Unbound: Ressourcenzuweisung ohne Begrenzung (CVE-2026-85501)

Was ist betroffen, was ist zu tun

Neuartige Schwachstellen, um algorithmische Komplexitätsangriffe auf DNSSEC zu starten, wurden unter dem Begriff "ReTrap" erforscht. Diese führen zu einer Beeinträchtigung des Dienstes, wenn bösartige Zonen verwendet werden, um die algorithmischen Komplexitäts-Schwachstellen zu bedienen.

Aktualisieren Sie NLnet Labs Unbound auf Version 1.26.1.

Betroffen

• NLnet Labs Unbound lt *..1.26.1

Behoben in

• NLnet Labs Unbound 1.26.1

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Neuartige Schwachstellen, um algorithmische Komplexitätsangriffe auf DNSSEC zu starten, wurden unter dem Begriff "ReTrap" erforscht. Diese führen zu einer Beeinträchtigung des Dienstes, wenn bösartige Zonen verwendet werden, um die algorithmischen Komplexitäts-Schwachstellen zu bedienen. NLnet Labs Unbound bis einschließlich 1.26.0 ist anfällig für einige davon. TagTrap, bei dem das Triple-Zone, Algo, KeyTag-Matching-Mechanismus einen erheblichen Angriffsvektor einführt, wenn Resolver bösartige Antworten mit zahlreichen nicht übereinstimmenden DNSKEY-, RRSIG- und DS-Einträgen verarbeiten. DelegationTrap, bei dem der Aufbau der Vertrauenskette iterative Validierungen von DNSKEY- und DS-Einträgen von der Wurzelzone nach unten erfordert. Für tief verschachtelte Domains führt dies zu erheblichem Rechenaufwand. NsecTrap, bei dem Antworten mit übermäßig ungültigen NSEC-Einträgen den Resolver dazu zwingen, jeden einzelnen zu validieren. AdditionalTrap, bei dem Unbound standardmäßig versucht, den ADDITIONAL-Bereich ebenfalls DNSSEC zu validieren. Dies kann von bösartigen Nutzern ausgenutzt werden, um Validierungsressourcen zu verschwenden.

Quelle: Ubuntu Security Notices, Debian Security Advisories, suse_csaf, BSI WID Portal, BSI CSAF, cvelistv5, Microsoft Security Update Guide, NVD (NIST)

Weakness-Klassen (CWE)

• CWE-770Allocation of Resources Without Limits or Throttling

  Base

  The product allocates a reusable resource or group of resources on behalf of an actor without imposing any intended restrictions on the size or number of resources that can be allocated.

  Eintrag bei MITRE CWE-770

Quellen & Referenzen

• nlnetlabs.nldownloads/unbound/CVE-2026-85501.txtHerstellerhinweis

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE – Reanalyses, CVSS-Updates, CPE-Diffs.

1. Initial Analysis23.09.2026nvd@nist.gov

   • CVSS V3.1: nachher AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
   • CPE Configuration: nachher OR *cpe:2.3:a:nlnetlabs:unbound:*:*:*:*:*:*:*:* versions up to (excluding) 1.26.1
   • Reference Type: nachher NLnet Labs: https://www.nlnetlabs.nl/downloads/unbound/CVE-2026-85501.txt Types: Patch, Vendor Advisory

2. CVE Modified16.09.2026134c704f-9b21-4f2e-91b3-4a467353bcc0

   • SSVC: nachher {"id":"CVE-2026-85501","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technical…

3. New CVE Received16.09.2026sep@nlnetlabs.nl

   • Description: nachher Novel vulnerabilities to launch algorithmic complexity attacks on DNSSEC have been researched under the term 'ReTrap'. These result in degradation of service when malicious zones are used to serve the algorithmic complexity vulnerabilities. NLnet Labs Unbound up to and including 1.26.0 is vulnerable to some of them. TagTrap, where the triple(Zone, Algo, KeyTag) matching mechanism introduces a significant attack vector when resolvers handle malicious responses containing numerous mismatched DNSKEY, RRSIG, and DS record. DelegationTrap, where constructing the chain-of-trust requires iterative validation of DNSKEY and DS records from the root zone downward. For deeply nested domains, this results in significant computational overhead. NsecTrap, where responses with excessive invalid NSEC records compel the resolver to validate each one. AdditionalTrap, where Unbound by default would try to DNSSEC validate the ADDITIONAL section as well. This can be exploited to waste validation resources by malicious users.
   • CVSS V3.1: nachher AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
   • CWE: nachher CWE-770
   • Affected: nachher New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/85xxx/CVE-2026-85501.json">CVE-2026-85501</a>