CVE-2026-97206 — Unbound 1.26.2 Tracking-Website für Sicherheitsveröffentlichungen

Quelle für den Patch-Status-Tracker zu CVE-2026-97206: eine einseitige Website, die festhält, welche Distributionen einen Fix für die fünf Unbound-Schwachstellen veröffentlicht haben, die mit dem 1.26.2-Release geschlossen wurden, angeführt von der Use-after-free-Schwachstelle in DNS-over-QUIC.

Wo die Fakten liegen

Alles zu den Fehlern — betroffene und behobene Versionen, die Upstream- Advisories, Entdeckungs- und Offenlegungs-Credit sowie der aktuelle Patch-Status pro Distribution — gehört auf die Tracker-Seite, nicht in diese README:

• Gerendert: https://kimmo.cloud/CVE-2026-97206/
• Quelle: site/content/_index.md

Bearbeite diese Datei; alles andere in diesem Repo ist Build-Infrastruktur.

Nichts davon wird hier absichtlich wiederholt. Die Tracker-Seite wird überarbeitet, sobald Distributionen Fixes veröffentlichen — bei den aktiv aktualisierten Trackern nach einem Zeitplan des Auto-Update-Agenten —, sodass jede in dieser README gepflegte Kopie still veralten würde. Widerstehe der Versuchung, eine Zusammenfassung erneut hinzuzufügen.

Der Deployment-Plan und der aktuelle Einrichtungsstatus stehen in WEBSITE.md.

Lokale Entwicklung

Erfordert Hugo ≥ 0.146.0 (die Standard-Edition genügt: kein Sass oder Bildverarbeitung auf dieser Website) und Go (damit Hugo Modules das PaperMod- Theme abrufen kann).

Mit Nix (empfohlen)

nix develop          # dev shell: hugo, go, resvg + fonts, and every lookup tool
cd site
hugo server          # local preview at http://localhost:1313/CVE-2026-97206/

Wenn Sie direnv verwenden, führen Sie einmal direnv allow aus, und die Dev-Shell wird automatisch aktiviert, sobald Sie mit cd in das Repository wechseln.

Ohne Nix

Installieren Sie Hugo ≥ 0.146.0 und Go ≥ 1.24 selbst (in CLAUDE.md § „Build environment" finden Sie das go install-Rezept), dann:

cd site
hugo server          # http://localhost:1313/CVE-2026-97206/

Bauen und Veröffentlichen

make build       # local build into site/public/
make dist        # build, then rsync to haig:/CVE-2026-97206/
make banner      # re-rasterise the social banner SVG → PNG (needs resvg + the banner fonts)

make dist führt zuerst make build aus. make banner ist nur nach dem Bearbeiten von site/assets/cve-2026-97206-tracker.svg erforderlich; das gerenderte PNG wird eingecheckt.

Datierung eines Fixes

Das Feld Fixed since einer Zeile ist das Datum, an dem der Fix tatsächlich ausgeliefert wurde, abgeleitet aus der Quelle, die ihn ausgeliefert hat — niemals der Tag, an dem er bemerkt wurde. Für die NixOS- und nixpkgs-Kanäle ist diese Ableitung ein Skript:

./scripts/nixos-first-shipped nixos-unstable <nixpkgs-commit>

Es listet die veröffentlichten Releases des Kanals auf, findet das früheste, das aus einer Revision gebaut wurde, die den Commit enthält, und gibt dieses Release sowie sein Veröffentlichungsdatum aus. Debian-Daten stammen aus dem Changelog oder von snapshot.debian.org, pkgsrc-Daten aus der Historie der Makefile des Pakets.

Drei weitere Hilfsprogramme lesen den aktuellen Zustand aus — zwei aus den lokalen Clones, eines von den Servern von Debian:

./scripts/nixpkgs-versions

./scripts/pkgsrc-versions

./scripts/debian-versions

Jede gibt eine tabulatorgetrennte Zeile pro verfolgter Zeile aus — die Version und welche der IDs in scripts/tracked-ids ein Patch, ein Ausdruck oder ein Changelog nennt. Sie schlagen laut fehl, anstatt eine falsche Zeile auszugeben. pkgsrc-versions meldet einen Quartalszweig, den der Clone noch nicht hat, als absent, sodass eine Zeile vor dem Zweig angelegt werden kann. make check führt ihre Tests aus.

Repo-Layout

.
├── flake.nix              # Nix dev environment (build, banner, publish, lookup tools)
├── .envrc                 # direnv hook → `use flake`
├── .gitignore
├── Makefile               # `make build`, `make dist`, `make banner`, `make check`
├── LICENSE                # CC BY 4.0
├── README.md              # this file
├── CLAUDE.md              # project instructions for Claude Code
├── WEBSITE.md             # publication plan / decisions log
├── scripts/               # auto-update driver + prompt, and the lookup helpers
├── systemd/               # user-level service unit, run by the sweep
├── tests/                 # tests for the lookup helpers (and the unused alas-cve)
└── site/                  # Hugo project
    ├── hugo.toml
    ├── content/
    │   └── _index.md      # the tracker (single page)
    ├── assets/css/extended/custom.css      # PaperMod CSS overrides
    ├── assets/cve-2026-97206-tracker.svg   # social-banner source (→ make banner)
    ├── static/cve-2026-97206-tracker.png   # rendered OpenGraph banner (committed)
    ├── layouts/partials/  # PaperMod overrides (post_meta, extend_footer)
    ├── layouts/shortcodes/details.html     # collapsible verification log
    ├── go.mod, go.sum     # Hugo Modules — pulls PaperMod theme
    └── …                  # standard Hugo skeleton

Lizenz

CC BY 4.0 — Teilen und Anpassen mit Namensnennung.