NLnet Labs stuft den DNSKEY-Fehler als kritisch ein und vergibt einen CVSS-Wert von 4.0 (9.1). Die Bewertung nennt einen Angriffsvektor über das Netzwerk, der weder Privilegien noch Nutzerinteraktion erfordert. In der NVD stand der Eintrag am Mittwoch noch auf “Awaiting Analysis” — die 9.1 ist damit die Einschätzung des Maintainers selbst.
Der Überlauf tritt auf, während der Validator einen DNSKEY-Eintrag verarbeitet, dessen Besitzername ein Kompressionszeiger in die eigenen Daten des Eintrags ist. Als Auswirkung führt NLnet Labs Denial of Service an, Codeausführung sei “über vom Angreifer kontrollierte Daten” möglich.
An den betroffenen Versionsbereich knüpft NLnet Labs keine Konfigurationsbedingung. Offen bleibt, ob ein Resolver mit abgeschalteter DNSSEC-Validierung erreichbar ist — dazu hat sich der Maintainer nicht geäußert. Der im Mai behobene kritische Validator-Fehler CVE-2026-33278 ist eine andere Schwachstelle; das damalige Update 1.25.1 schließt die neue Lücke nicht.
Unbound 1.26.1 steht als Quelltext mit Prüfsummen und PGP-Signatur sowie als Windows-Installer und Binärpakete bereit. Wer nicht aktualisieren kann, findet im Advisory zwei Wege, den Quellbaum zu patchen. Die eigenständigen Patches für CVE-2026-81642 und CVE-2026-82717 wurden laut NLnet Labs getestet und funktionieren auf 1.26.0; die Sicherheitsrichtlinie des Projekts sieht vor, jeweils die zuletzt veröffentlichte Version zu patchen.
Debians Security-Tracker führte unbound 1.26.1-1 am Donnerstag als in unstable behoben, während die Zweige bookworm, trixie und forky weiterhin als verwundbar gelistet sind.
Die Release Notes nennen insgesamt neun CVEs; die zugehörige Tabelle gibt für jede den betroffenen Versionsbereich und die Auslösebedingung in der Formulierung von NLnet Labs an. Mit dem ReTrap-Fix ändert sich zudem eine Voreinstellung: val-clean-additional ist nun deaktiviert, Unbound validiert DNSSEC-Daten im Additional-Abschnitt einer Antwort also standardmäßig nicht mehr.
Gemeldet wurde der Fehler laut Zeitleiste im CVE-Eintrag am 11. August von Yuqi Qiu, der ihn gemeinsam mit Xiang Li im AOSP Lab der Universität Nankai fand. NLnet Labs stellte am Folgetag einen Patch bereit, den der Melder am 13. August verifizierte. Ausgeliefert wurde die Korrektur fünf Wochen später im Sammelrelease 1.26.1. Die Sicherheitsrichtlinie von NLnet Labs sieht für noch nicht öffentliche Probleme Fixes “in der Größenordnung von Wochen” vor.