USN-8946-1: dieci falle in Unbound su Ubuntu, una grave per cache poisoning

Canonical ha pubblicato il 21 ottobre 2026 l'avviso USN-8946-1, che corregge dieci vulnerabilità nel pacchetto Unbound su tutte le release Ubuntu ancora coperte, da 14.04 LTS fino alla recente 26.04 LTS. Per chi gestisce un resolver DNS su un server Ubuntu, ricorsivo o autoritativo con cache, è un aggiornamento da applicare senza aspettare il prossimo riavvio programmato.

La falla più seria: cache poisoning

La vulnerabilità che merita attenzione è CVE-2026-44690. Secondo l'avviso ufficiale, è stato scoperto che Unbound gestiva in modo scorretto alcune risposte DNS in cache, e un attaccante remoto poteva potenzialmente usare questo problema per avvelenare la cache di Unbound. Riguarda Ubuntu 26.04, 24.04, 22.04 e 20.04 LTS.

NLnet Labs, lo sviluppatore upstream, ha pubblicato il dettaglio tecnico: la falla nasce da validazione insufficiente delle RRSIG.labels combinata con scritture premature in cache durante il processing NSEC aggressivo RFC 8198, ed è stata segnalata da Qifan Zhang di Palo Alto Networks. Il meccanismo concreto: un attaccante che controlla anche una sola zona delegata sotto un dominio padre firmato con NSEC può far inserire in cache record di delega wildcard fasulli per zone "sorelle" non correlate, restituendo così risposte DNS contraffatte ai client che interrogano quel resolver. Il punteggio assegnato dal NIST è 7.5 su 10 (High).

Le altre nove CVE

Le restanti nove vulnerabilità riguardano quasi tutte denial of service: gestione scorretta di connessioni TCP (CVE-2026-80225), risposte DNS malformate (CVE-2026-81634), validazione DNSSEC (CVE-2026-85501), porte di rete in uscita (CVE-2026-50252), pacchetti DNSCrypt (CVE-2026-40691), connessioni DNS-over-QUIC solo su 26.04 (CVE-2026-32665) e opzioni EDNS sempre solo su 26.04 (CVE-2026-55973). Le ultime due, CVE-2023-50387 e CVE-2023-50868, risalgono al 2023 e toccano solo le vecchie 18.04, 16.04 e 14.04 LTS.

Come aggiornare

Release	Pacchetto unbound corretto
26.04 LTS	1.24.2-1ubuntu2.4
24.04 LTS	1.19.2-1ubuntu3.12
22.04 LTS	1.13.1-1ubuntu5.17
20.04 LTS	1.9.4-2ubuntu1.11+esm3 (richiede Ubuntu Pro)
18.04 LTS	1.6.7-1ubuntu2.6+esm6 (richiede Ubuntu Pro)
16.04 LTS	1.5.8-1ubuntu1.1+esm5 (richiede Ubuntu Pro + Legacy Support)
14.04 LTS	1.4.22-1ubuntu4.14.04.3+esm5 (richiede Ubuntu Pro + Legacy Support)

Su 20.04 e versioni precedenti il pacchetto è ormai in ESM: senza un abbonamento Ubuntu Pro attivo la patch non si scarica con un normale apt upgrade. Dove Unbound è installato come resolver locale (ad esempio dietro NGINX o come forwarder per DNSSEC), vale la pena controllare la versione in esecuzione con unbound -V prima e dopo l'aggiornamento.