Ubuntu publica correcciones de seguridad para vulnerabilidades en la biblioteca DNS c-ares
Múltiples fallos de alta gravedad en la biblioteca c-ares podrían provocar denegación de servicio o ejecución arbitraria de código. Afecta a varias versiones LTS de Ubuntu.
Resumen
- Se encontraron cuatro vulnerabilidades en la biblioteca de análisis DNS c-ares utilizada por Ubuntu.
- Los problemas van desde denegación de servicio hasta posible ejecución remota de código.
- Afecta a las versiones LTS de Ubuntu 16.04, 18.04, 24.04 y 26.04.
- Los parches solucionan riesgos de validación incorrecta de entrada y agotamiento de recursos.
- Las organizaciones que usen versiones afectadas de Ubuntu deben actualizar de inmediato.
Ubuntu ha publicado actualizaciones de seguridad que abordan vulnerabilidades críticas en la biblioteca de resolución DNS asíncrona c-ares. Estos fallos afectan a múltiples versiones de soporte prolongado y podrían ser explotados remotamente para causar interrupciones del servicio o, en algunos casos, ejecutar código arbitrario.
La biblioteca c-ares se utiliza ampliamente en aplicaciones de red que requieren resolución DNS no bloqueante. Los problemas identificados se derivan de una validación inadecuada de los datos de respuesta DNS y un manejo incorrecto de ciertos tipos de consultas, lo que potencialmente permite a atacantes hacer que los servicios fallen o consuman recursos excesivos del sistema.
Las organizaciones que utilicen versiones afectadas de Ubuntu deben priorizar la aplicación de estas actualizaciones para protegerse contra posibles explotaciones mediante tráfico DNS mal formado.
Riesgos de denegación de servicio en distintas versiones de Ubuntu
- CVE-2020-22217 afecta a Ubuntu 16.04 y 18.04 debido a un análisis incorrecto de registros DNS SOA.
- CVE-2026-69184 impacta a todas las versiones compatibles de Ubuntu por bucles no verificados en punteros de compresión DNS.
- CVE-2026-69186 afecta específicamente a Ubuntu 24.04 y 26.04 con fallos de asignación de memoria durante el análisis de DNS.
- La explotación exitosa conduce a fallos en los servicios o agotamiento de recursos sin necesidad de autenticación.
Ejecución remota de código y pasos de mitigación
- CVE-2022-4904 permite la posible ejecución arbitraria de código en Ubuntu 16.04 a través de entradas sortlist mal formadas.
- Todas las vulnerabilidades pueden activarse remotamente sin interacción del usuario mediante respuestas DNS manipuladas.
- Los administradores deben actualizar los paquetes utilizando los mecanismos estándar de actualización de Ubuntu de inmediato.
- Las aplicaciones que incorporen c-ares también deberán verificar que utilizan versiones parcheadas más allá de las actualizaciones integradas en Ubuntu.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.