CentOS Linux 8 主機已安裝的套件會受到 TuxCare CENTOS-STREAM8：CLSA-2026：1791261872 公告中提及的多個弱點影響。

  - 遠端攻擊者可利用 DNS 通訊協定 (在 RFC 4033、4034、4035、6840 和相關 RFC 中) 的特定 DNSSEC 方面，透過一或多個 DNSSEC 回應造成拒絕服務 (CPU 消耗)，即 KeyTrap 問題。其中一個問題是，當某個區域具有多個 DNSKEY 和 RRSIG 記錄時，通訊協定規格即表示演算法必須評估 DNSKEY 和 RRSIG 記錄的所有組合。(CVE-2023-50387)

  - 在 NLnetLabs Unbound up to （including 1.26.0） 中，TCP/DoT 讀取程序中存在服務降級弱點，其中對連續讀取沒有限制。惡意執行者可以透過 TCP/DoT 連線串流並維持不同未快取名稱的速率，只要其寫入保持在耗盡之前，就會壟斷單一工作者的整個事件迴圈。（CVE-2026-80225）

  - 在 NLnet Labs Unbound 中 1.26.0，具有大型 TCP 回應的 255 長度查詢名稱可能會導致 RRSet 規範化常式期間堆積緩衝區溢位。這是因為遺漏將第一個擁有者名稱新增至緩衝區長度檢查所造成。惡意行為者操作惡意名稱伺服器或竄改對 Unbound 的傳入回應 （規範化發生在 DNSSEC 驗證之前），可觸發此弱點。（CVE-2026-81634）

  - 已在「ReTrap」一詞下研究了對 DNSSEC 發動演算法複雜性攻擊的新漏洞。當惡意區域用於處理演算法複雜性弱點時，這些會導致服務降級。NLnet Labs Unbound up to and include 1.26.0 很容易受到其中一些問題的影響。TagTrap，其中三重 （Zone、Algo、KeyTag） 比對機制會在解析器處理包含大量不相符的 DNSKEY、RRSIG 和 DS 記錄的惡意回應時引入重要的攻擊媒介。DelegationTrap，其中建構信任鏈需要從根區域向下反覆驗證 DNSKEY 和 DS 記錄。對於深度巢狀網域，這會導致大量的運算額外負荷。NsecTrap，其中具有過多無效 NSEC 記錄的回應會強制解析器驗證每個記錄。AdditionalTrap，其中預設情況下 Unbound 也會嘗試 DNSSEC 驗證 ADDITIONAL 區段。惡意使用者可能會利用這來浪費驗證資源。（CVE-2026-85501）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

CentOS Linux 8 [TuxCare] 安全性更新：python3-unbound / unbound / unbound-devel / unbound-libs 多個漏洞（CENTOS-STREAM8：CLSA-2026：1791261872）

high Nessus Plugin ID 363115

版本 1.2

偵測

CentOS Linux 8 [TuxCare] 安全性更新：python3-unbound / unbound / unbound-devel / unbound-libs 多個漏洞 （CENTOS-STREAM8：CLSA-2026：1791261872）

high Nessus Plugin ID 363115

版本 1.2

CentOS Linux 8 [TuxCare] 安全性更新：python3-unbound / unbound / unbound-devel / unbound-libs 多個漏洞（CENTOS-STREAM8：CLSA-2026：1791261872）