Faille critique dans Unbound, le résolveur DNS open source

Une faille critique vient d’être révélée dans Unbound, le résolveur DNS open source maintenu par NLnet Labs et utilisé par une part considérable de l’infrastructure Internet mondiale. Toutes les versions antérieures à la 1.26.1 sont concernées par un dépassement de tas dans le validateur DNSSEC, un composant censé garantir l’authenticité des réponses DNS. Ironie du sort, c’est précisément le mécanisme conçu pour sécuriser les échanges qui devient ici la porte d’entrée d’une attaque.

Le scénario d’exploitation ne relève pas de la théorie abstraite. Un attaquant qui contrôle une zone DNS malveillante et parvient à faire interroger cette zone par un résolveur vulnérable peut déclencher le bug et, potentiellement, exécuter du code arbitraire à distance. Autrement dit, il suffit qu’un serveur DNS quelque part tente de résoudre un nom de domaine piégé pour que la mécanique s’enclenche. Dans un monde où le DNS reste la colonne vertébrale silencieuse du web, ce type de vulnérabilité a de quoi inquiéter bien au delà du cercle des administrateurs système.

Unbound n’est pas un logiciel de niche. Il équipe des distributions Linux, des box opérateurs, des solutions de sécurité réseau et des résolveurs déployés par des fournisseurs d’accès à travers le monde. Sa légèreté et sa conformité aux standards en ont fait une alternative crédible à BIND depuis des années. Cette popularité transforme aujourd’hui la faille en un problème de sécurité systémique, à la manière de ce que Log4Shell avait représenté pour l’écosystème Java.

NLnet Labs a publié un correctif dans la version 1.26.1 et recommande une mise à jour immédiate pour tout déploiement exposé. Le calendrier de la divulgation suit le schéma désormais classique de la sécurité coordonnée : signalement responsable, correctif disponible avant publication détaillée, puis course contre la montre pour les équipes d’exploitation. Reste que dans la réalité, des milliers de résolveurs oubliés, mal supervisés ou simplement jamais patchés continueront de tourner en version vulnérable pendant des mois, voire des années.

Cette affaire rappelle une vérité que la communauté de la sécurité répète sans relâche : le DNSSEC, censé renforcer la confiance dans le système de noms de domaine, ajoute aussi de la complexité, donc des surfaces d’attaque. Sécuriser Internet reste un jeu d’équilibriste permanent entre robustesse cryptographique et simplicité d’implémentation, un compromis que peu de protocoles réussissent parfaitement à tenir.

Sources

The Hacker News, 17 septembre 2026