Debian vá Unbound: 5 CVE về DNSSEC, cache và từ chối dịch vụ

DNS resolver là dịch vụ phía sau nhiều ứng dụng: nó phân giải tên miền, lưu cache và có thể xác thực DNSSEC. Nếu resolver trả kết quả sai hoặc ngừng hoạt động, website, API, kho gói và hệ thống giám sát đều có thể bị ảnh hưởng dù máy chủ ứng dụng vẫn chạy.

Ngày 23/10/2026, Debian phát hành DSA-6581-1 cho Unbound trên Debian 13 “trixie”. Debian xác nhận năm mã CVE và cung cấp bản đã sửa 1.26.2-0+deb13u1. Thông báo không nói rằng mọi cài đặt đều có thể bị khai thác từ Internet; rủi ro phụ thuộc vai trò resolver và cấu hình.

Năm lỗ hổng ảnh hưởng điều gì?

DNSSEC là cơ chế dùng chữ ký để xác minh dữ liệu DNS. Trust anchor là điểm tin cậy được cấu hình trước. Hai CVE đầu đáng chú ý với hệ thống dùng island trust anchor bên dưới một miền cha không an toàn. CVE DNS-over-QUIC chỉ liên quan khi tính năng và điều kiện đa luồng tương ứng được sử dụng.

Ưu tiên theo vai trò của máy chủ

• Ưu tiên cao: resolver công cộng hoặc resolver dùng chung cho nhiều tenant, có truy cập Internet và phục vụ dữ liệu quan trọng.
• Ưu tiên cao: hệ thống bật DNS-over-QUIC đa luồng hoặc dùng unwanted-reply-threshold như một phần bảo vệ cache.
• Ưu tiên theo cấu hình: resolver có island trust anchor bên dưới parent không an toàn.
• Vẫn cần cập nhật: resolver nội bộ chỉ nghe trên mạng riêng, nhưng có thể thực hiện trong cửa sổ bảo trì đã kiểm thử.
• Không tự kết luận bị ảnh hưởng: máy chỉ dùng stub resolver của hệ điều hành mà không cài dịch vụ Unbound.

Quy trình kiểm tra và cập nhật

1. Xác nhận gói và phiên bản bằng dpkg-query -W unbound; ghi lại cấu hình, interface lắng nghe và client phụ thuộc.
2. Kiểm tra repository bảo mật được bật và bản ứng viên bằng apt-cache policy unbound.
3. Sao lưu cấu hình, trust anchor tùy chỉnh và dữ liệu local-zone; ghi phương án quay lại.
4. Cập nhật trong cửa sổ bảo trì bằng công cụ quản lý gói chuẩn của Debian đến 1.26.2-0+deb13u1 hoặc mới hơn.
5. Kiểm tra cấu hình trước khi khởi động lại, theo dõi trạng thái dịch vụ và log lỗi.
6. Thử phân giải tên nội bộ, tên công cộng, NXDOMAIN và một tên có DNSSEC; đo thời gian phản hồi và tỷ lệ SERVFAIL.
7. Kiểm tra cache, forwarder, firewall và hệ thống dự phòng trước khi kết thúc bảo trì.

dpkg-query -W unbound
apt-cache policy unbound
sudo unbound-checkconf
sudo systemctl status unbound

Các lệnh trên chỉ kiểm tra, chưa thay thế quy trình thay đổi của doanh nghiệp. Không xóa cache hoặc khởi động lại đồng loạt nhiều resolver nếu chưa đánh giá tác động; với cặp resolver, nên cập nhật từng nút và chuyển lưu lượng có kiểm soát.

CISA, Ubuntu, GitHub và Kubernetes có gì trong lượt rà soát?

Trong lượt kiểm tra ngày 24/10, feed CVE chính thức của Kubernetes chỉ làm mới thời gian cập nhật nhưng hai mục đầu CVE-2026-76654 và CVE-2026-2270 đã được trang này đăng bài ngày 21/10, nên không tạo lại. Trang CISA KEV có thể truy cập, nhưng feed JSON chính thức trả lỗi 403 trong lần đọc này; vì vậy không suy ra là không có thay đổi KEV. Các tìm kiếm giới hạn nguồn Ubuntu và GitHub Advisory Database không cho thấy cảnh báo mới phù hợp hơn DSA-6581 trong cửa sổ này.

Bài Debian vá BIND9 mới xuất bản trước đó nói về phần mềm DNS khác; quản trị viên cần kiểm tra gói thực tế, không áp bản vá BIND9 cho Unbound hoặc ngược lại. Sau cập nhật, dùng khung monitoring máy chủ để đặt cảnh báo SERVFAIL, thời gian phản hồi và tỷ lệ cache hit.

Quản trị VPS cần hỗ trợ lập kế hoạch bảo trì có thể gửi phiên bản Debian, kết quả apt-cache policy, sơ đồ resolver và cửa sổ cho phép gián đoạn qua hotro@thuemaychu.vn. Nếu cần môi trường thử nghiệm tách biệt, tham khảo Cloud VPS; không gửi mật khẩu quản trị qua email.

Nguồn tham khảo

• Debian Security Advisory DSA-6581-1, phát hành 23/10/2026
• Kubernetes Official CVE Feed, kiểm tra 24/10/2026
• CISA Known Exploited Vulnerabilities Catalog