Publicado en

Vulnerabilidad Crítica en Unbound: Riesgo de Ejecución Remota de Código a través de DNSSEC

•Publicado enVulnerabilidades

Alerta de seguridad: Fallo crítico en el validador DNSSEC de Unbound

Recientemente se ha revelado una vulnerabilidad de severidad crítica que afecta a Unbound, uno de los resolutores de DNS más utilizados en infraestructuras empresariales y de proveedores de servicios. El fallo, identificado como CVE-2026-81642, reside en su validador DNSSEC y podría permitir a un atacante lograr la ejecución remota de código (RCE).

¿En qué consiste el problema técnico?

El núcleo del problema es un desbordamiento de montículo (heap overflow) que ocurre cuando el validador procesa un registro DNSKEY específico. El ataque se desencadena cuando el nombre del propietario del registro utiliza un puntero de compresión que apunta hacia los propios datos del registro. Al intentar procesar esta estructura malformada, el sistema de validación falla, permitiendo potencialmente que un atacante tome el control del flujo de ejecución del servidor.

Según NLnet Labs, los mantenedores del software, esta vulnerabilidad ha recibido una puntuación CVSS de 9.1, lo que la sitúa en un nivel de riesgo crítico debido a que puede ser explotada de forma remota, sin privilegios previos y sin interacción del usuario.

Impacto para las empresas

Para cualquier organización que dependa de Unbound para la resolución de nombres y la validación de seguridad DNSSEC, el riesgo es doble:

  • Denegación de Servicio (DoS): Un atacante puede provocar la caída inmediata del servicio de resolución de nombres, dejando a la empresa sin conectividad externa.
  • Ejecución de Código (RCE): En el peor de los casos, el atacante podría ejecutar comandos maliciosos en el servidor, lo que facilitaría el robo de datos, la instalación de malware o el movimiento lateral dentro de la red corporativa.

Otras vulnerabilidades corregidas

La actualización a la versión más reciente no solo soluciona el fallo mencionado. Se han corregido un total de nueve vulnerabilidades, entre las que destaca el CVE-2026-82717, otro fallo de corrupción de memoria en la síntesis de registros CNAME que también podría derivar en RCE bajo ciertas configuraciones de compilación.

Recomendaciones de Intedya

Desde el área de ciberseguridad de Intedya, instamos a los responsables de sistemas y directores de seguridad (CISO) a tomar las siguientes medidas inmediatas:

  1. Actualización urgente: Migrar todas las instancias de Unbound a la versión 1.26.1 de forma inmediata. Esta versión incluye los parches para los nueve fallos detectados.
  2. Aplicación de parches manuales: Si por razones de compatibilidad no es posible actualizar la versión completa, NLnet Labs ha facilitado parches específicos para el código fuente que deben ser aplicados y recompilados.
  3. Revisión de la configuración DNSSEC: Aunque desactivar la validación DNSSEC podría mitigar este fallo específico, no es una práctica recomendada a largo plazo, ya que expone a la organización a ataques de suplantación de identidad (DNS Spoofing). La solución definitiva siempre debe ser el parcheo del software.

La seguridad de la infraestructura DNS es un pilar fundamental de la resiliencia digital. Mantener los sistemas actualizados frente a vulnerabilidades de esta magnitud es vital para prevenir incidentes que comprometan la continuidad del negocio.

Fuentes