CVE-2026-81642 — Sitio de seguimiento del desbordamiento de heap en el digest de DNSKEY de Unbound

Fuente para el rastreador del estado de parches de CVE-2026-81642: un sitio de una sola página que registra qué distribuciones han publicado una corrección para los desbordamientos de heap del validador DNSSEC de Unbound y los ataques de complejidad ReTrap divulgados junto con ellos.

Dónde está la información

Todo sobre los errores — versiones afectadas y corregidas, los avisos upstream, el crédito de descubrimiento y divulgación, y el estado actual de parches por distribución — pertenece a la página del rastreador, no a este README:

• Renderizado: https://kimmo.cloud/CVE-2026-81642/
• Fuente: site/content/_index.md

Edita ese archivo; todo lo demás en este repositorio es infraestructura de compilación.

Nada de esto se repite aquí a propósito. La página del rastreador se revisa a medida que las distribuciones publican correcciones — para los rastreadores actualizados activamente, según un calendario del agente de actualización automática — por lo que cualquier copia mantenida en este README se deterioraría silenciosamente. Resiste la tentación de volver a añadir un resumen.

El plan de despliegue y el estado actual de la configuración están en WEBSITE.md.

Desarrollo local

Requiere Hugo ≥ 0.146.0 (la edición estándar es suficiente: no hay Sass ni procesamiento de imágenes en este sitio) y Go (para que Hugo Modules obtenga el tema PaperMod).

Con Nix (recomendado)

nix develop          # dev shell: hugo, go, resvg + fonts, and every lookup tool
cd site
hugo server          # local preview at http://localhost:1313/CVE-2026-81642/

Si usas direnv, ejecuta direnv allow una vez y el dev shell se activará automáticamente cada vez que hagas cd al repositorio.

Sin Nix

Instala Hugo ≥ 0.146.0 y Go ≥ 1.24 tú mismo (CLAUDE.md § "Build environment" tiene la receta de go install), luego:

cd site
hugo server          # http://localhost:1313/CVE-2026-81642/

Compilación y publicación

make build       # local build into site/public/
make dist        # build, then rsync to haig:/CVE-2026-81642/
make banner      # re-rasterise the social banner SVG → PNG (needs resvg + the banner fonts)

make dist ejecuta make build primero. make banner solo es necesario después de editar site/assets/cve-2026-81642-tracker.svg; el PNG renderizado se incluye en el repositorio.

Fechar una corrección

El campo Fixed since de una fila es la fecha en que la corrección se publicó realmente, derivada de la fuente que la publicó — nunca el día en que se notó. Para los canales de NixOS y nixpkgs esa derivación es un script:

./scripts/nixos-first-shipped nixos-unstable <nixpkgs-commit>

Enumera las versiones publicadas del canal, encuentra la más temprana construida a partir de una revisión que contiene el commit, e imprime esa versión y su fecha de publicación. Las fechas de Debian provienen del changelog o de snapshot.debian.org, las fechas de pkgsrc del historial del Makefile del paquete.

Tres ayudantes más leen el estado actual — dos de los clones locales, uno de los servidores de Debian:

./scripts/nixpkgs-versions

./scripts/pkgsrc-versions

./scripts/debian-versions

Cada uno imprime una línea separada por tabulaciones por cada fila rastreada — la versión, y cuál de los ids en scripts/tracked-ids nombra un parche, expresión o changelog. Fallan ruidosamente en lugar de imprimir una fila incorrecta. pkgsrc-versions informa una rama trimestral que el clon aún no tiene como absent, por lo que una fila puede sembrarse antes de la rama. make check ejecuta sus pruebas.

Estructura del repositorio

.
├── flake.nix              # Nix dev environment (build, banner, publish, lookup tools)
├── .envrc                 # direnv hook → `use flake`
├── .gitignore
├── Makefile               # `make build`, `make dist`, `make banner`, `make check`
├── LICENSE                # CC BY 4.0
├── README.md              # this file
├── CLAUDE.md              # project instructions for Claude Code
├── WEBSITE.md             # publication plan / decisions log
├── scripts/               # auto-update driver + prompt, and the lookup helpers
├── systemd/               # user-level timer + service units
├── tests/                 # tests for the lookup helpers (and the unused alas-cve)
└── site/                  # Hugo project
    ├── hugo.toml
    ├── content/
    │   └── _index.md      # the tracker (single page)
    ├── assets/css/extended/custom.css      # PaperMod CSS overrides
    ├── assets/cve-2026-81642-tracker.svg   # social-banner source (→ make banner)
    ├── static/cve-2026-81642-tracker.png   # rendered OpenGraph banner (committed)
    ├── layouts/partials/  # PaperMod overrides (post_meta, extend_footer)
    ├── layouts/shortcodes/details.html     # collapsible verification log
    ├── go.mod, go.sum     # Hugo Modules — pulls PaperMod theme
    └── …                  # standard Hugo skeleton

Licencia

CC BY 4.0 — comparte y adapta con atribución.