Unbound : cinq failles corrigées en 1.26.2 (DSA-6581-1), déni de service DNS-over-QUIC, Debian 12 pas encore corrigée
Unbound 1.26.2 corrige cinq failles dont un déni de service DoQ (CVSS 7,5). Debian 13 est corrigée (DSA-6581-1), Debian 12 reste vulnérable : mettre à jour les résolveurs.
par Frédéric Vagner · publié le
- Sévérité
- Haute CVSS 7,5 / 10
- CVE
- CVE-2026-97206 CVE-2026-50106 CVE-2026-109125 CVE-2026-96405 CVE-2026-35501
- Produits
- DebianAutres Linux
- Versions touchées
- Unbound jusqu'à 1.26.1
- Versions corrigées
- 1.26.2 ; Debian 13 : 1.26.2-0+deb13u1 ; Debian 12 : en attente
- Correctif
- Correctif disponible
- Source
- security-tracker.debian.org ↗
Debian a publié DSA-6581-1 pour Unbound (résolveur DNS de NLnet Labs) : mise à jour vers la version 1.26.2 qui corrige cinq failles, dont un déni de service à distance sur DNS-over-QUIC (CVSS 7,5).
Qui est concerné ?
Les serveurs qui utilisent Unbound comme résolveur (hébergeurs, serveurs de messagerie, parcs gérés). Les versions jusqu'à 1.26.1 incluse sont vulnérables ; certaines failles dépendent d'une configuration particulière (DoQ activé, option unwanted-reply-threshold, ancre de confiance supplémentaire).
Risque
| CVE | CVSS (NVD) | Nature |
|---|---|---|
| CVE-2026-97206 | 7,5 | DoQ : état incohérent après migration de chemin QUIC, multi-thread (versions 1.22.0 à 1.26.1) |
| CVE-2026-50106 | 6,5 | ancre de confiance supplémentaire pour une zone « îlot de sécurité » : réponse malveillante |
| CVE-2026-109125 | 5,3 | canal auxiliaire sur le cache avec unwanted-reply-threshold > 0 (hors configuration par défaut) |
| CVE-2026-96405 | 5,3 | pas de limite globale de décompression des pointeurs de compression de noms |
| CVE-2026-35501 | à confirmer | listée dans le DSA |
Le tracker Debian signale aussi, pour bookworm, d'autres CVE Unbound ouvertes (CVE-2026-85501, -82720, -82717…) corrigées dans trixie. Aucune exploitation active connue (absent du CISA KEV).
Corriger
| Debian | État au 24/10/2026 |
|---|---|
| 13 (trixie) | corrigé : 1.26.2-0+deb13u1 (DSA-6581-1) |
| 12 (bookworm) | 1.17.1-2+deb12u3 : vulnérable selon le tracker, pas de DLA |
| forky / sid | 1.26.2-1 |
apt update && apt install --only-upgrade unbound
systemctl restart unboundContournement
Désactiver DNS-over-QUIC s'il est activé, ne pas activer unwanted-reply-threshold, restreindre les clients autorisés (access-control).
Vérifier
unbound -V | head -1
unbound-checkconf