Vulnerabilidad en NLnet Labs Unbound (CVE-2024-1931)

NLnet Labs Unbound versión 1.18.0 hasta la versión 1.19.1 incluida contiene una vulnerabilidad que puede causar denegación de servicio mediante una determinada ruta de código que puede conducir a un bucle infinito. Unbound 1.18.0 introdujo una característica que elimina los registros EDE de las respuestas con un tamaño superior al tamaño de búfer anunciado por el cliente. Sin embargo, antes de eliminar todos los registros EDE, intentaría ver si recortar los campos de texto adicionales en esos registros daría como resultado un tamaño aceptable y al mismo tiempo conservaría los códigos EDE. Debido a una condición no marcada, el código que recorta el texto de los registros EDE podría repetirse indefinidamente. Esto sucede cuando Unbound responde con información EDE adjunta en una respuesta positiva y el tamaño del búfer del cliente es menor que el espacio necesario para incluir registros EDE. La vulnerabilidad sólo puede activarse cuando se utiliza la opción 'ede: yes'; configuración no predeterminada. A partir de la versión 1.19.2, el código se corrige para evitar bucles indefinidos.