CVE-2026-81642 — Unbound DNSKEY-Digest-Heap-Overflow-Tracking-Seite

Quelle für den Patch-Status-Tracker zu CVE-2026-81642: eine Single-Page-Site, die festhält, welche Distributionen einen Fix für die Heap-Overflows im DNSSEC-Validator von Unbound und die zusammen mit ihnen offengelegten ReTrap-Komplexitätsangriffe ausgeliefert haben.

Wo die Fakten liegen

Alles zu den Bugs — betroffene und gefixte Versionen, die Upstream- Advisories, Discovery- und Disclosure-Credits sowie der aktuelle Patch-Status pro Distribution — gehört auf die Tracker-Seite, nicht in diese README:

• Gerendert: https://kimmo.cloud/CVE-2026-81642/
• Quelle: site/content/_index.md

Bearbeite diese Datei; alles andere in diesem Repo ist Build-Infrastruktur.

Nichts davon wird hier absichtlich wiederholt. Die Tracker-Seite wird überarbeitet, sobald Distributionen Fixes ausliefern — bei den aktiv aktualisierten Trackern nach einem Zeitplan durch den Auto-Update-Agent — sodass jede in dieser README gepflegte Kopie still verrotten würde. Wehre dich dagegen, eine Zusammenfassung wieder hinzuzufügen.

Der Deployment-Plan und der aktuelle Setup-Zustand stehen in WEBSITE.md.

Lokale Entwicklung

Erfordert Hugo ≥ 0.146.0 (die Standard-Edition genügt: kein Sass oder Bildverarbeitung auf dieser Site) und Go (damit Hugo Modules das PaperMod- Theme holen kann).

Mit Nix (empfohlen)

nix develop          # dev shell: hugo, go, resvg + fonts, and every lookup tool
cd site
hugo server          # local preview at http://localhost:1313/CVE-2026-81642/

Wenn du direnv verwendest, einmal direnv allow ausführen, und die Dev-Shell aktiviert sich automatisch, sobald du in das Repo cd-st.

Ohne Nix

Installiere Hugo ≥ 0.146.0 und Go ≥ 1.24 selbst (CLAUDE.md § "Build environment" enthält das go install-Rezept), dann:

cd site
hugo server          # http://localhost:1313/CVE-2026-81642/

Build und Veröffentlichung

make build       # local build into site/public/
make dist        # build, then rsync to haig:/CVE-2026-81642/
make banner      # re-rasterise the social banner SVG → PNG (needs resvg + the banner fonts)

make dist führt zuerst make build aus. make banner ist nur nach dem Bearbeiten von site/assets/cve-2026-81642-tracker.svg nötig; das gerenderte PNG wird eingecheckt.

Einen Fix datieren

Das Fixed since einer Zeile ist das Datum, an dem der Fix tatsächlich ausgeliefert wurde, abgeleitet aus der Quelle, die ihn ausgeliefert hat — niemals der Tag, an dem er bemerkt wurde. Für die NixOS- und nixpkgs- Channels ist diese Ableitung ein Skript:

./scripts/nixos-first-shipped nixos-unstable <nixpkgs-commit>

Es listet die veröffentlichten Releases des Channels auf, findet das früheste, das aus einer Revision mit dem Commit gebaut wurde, und gibt dieses Release und sein Veröffentlichungsdatum aus. Debian-Daten stammen aus dem Changelog oder von snapshot.debian.org, pkgsrc-Daten aus der Historie des Package-Makefile.

Drei weitere Helfer lesen den aktuellen Zustand aus — zwei aus den lokalen Clones, einer von Debian-Servern:

./scripts/nixpkgs-versions

./scripts/pkgsrc-versions

./scripts/debian-versions

Jeder gibt eine tabulatorgetrennte Zeile pro getrackter Zeile aus — die Version und welche der IDs in scripts/tracked-ids ein Patch, ein Expression oder ein Changelog nennt. Sie schlagen laut fehl, statt eine falsche Zeile auszugeben. pkgsrc-versions meldet einen Quartals-Branch, den der Clone noch nicht hat, als absent, sodass eine Zeile vor dem Branch angelegt werden kann. make check führt ihre Tests aus.

Repo-Layout

.
├── flake.nix              # Nix dev environment (build, banner, publish, lookup tools)
├── .envrc                 # direnv hook → `use flake`
├── .gitignore
├── Makefile               # `make build`, `make dist`, `make banner`, `make check`
├── LICENSE                # CC BY 4.0
├── README.md              # this file
├── CLAUDE.md              # project instructions for Claude Code
├── WEBSITE.md             # publication plan / decisions log
├── scripts/               # auto-update driver + prompt, and the lookup helpers
├── systemd/               # user-level timer + service units
├── tests/                 # tests for the lookup helpers (and the unused alas-cve)
└── site/                  # Hugo project
    ├── hugo.toml
    ├── content/
    │   └── _index.md      # the tracker (single page)
    ├── assets/css/extended/custom.css      # PaperMod CSS overrides
    ├── assets/cve-2026-81642-tracker.svg   # social-banner source (→ make banner)
    ├── static/cve-2026-81642-tracker.png   # rendered OpenGraph banner (committed)
    ├── layouts/partials/  # PaperMod overrides (post_meta, extend_footer)
    ├── layouts/shortcodes/details.html     # collapsible verification log
    ├── go.mod, go.sum     # Hugo Modules — pulls PaperMod theme
    └── …                  # standard Hugo skeleton

Lizenz

CC BY 4.0 — teilen und anpassen mit Namensnennung.