Debian publicó el 13 de noviembre una actualización de seguridad para c-ares, una biblioteca que permite a los programas realizar consultas DNS de forma asíncrona. Cuatro vulnerabilidades pueden provocar denegación de servicio, suplantación de respuestas DNS o divulgación de información, dependiendo de cómo se use la biblioteca. Para Debian 13, la corrección está en la versión 1.34.9-1~deb13u1.
Fallos en el procesamiento de consultas y respuestas
El aviso DSA-6626-1 de Debian agrupa CVE-2025-62408, CVE-2026-33630, CVE-2026-69184 y CVE-2026-69186. El aviso describe fallos de gestión de memoria, como uso de memoria liberada, doble liberación y desbordamientos de búfer; consumo excesivo de recursos al procesar mensajes DNS; aceptación de respuestas de servidores distintos del consultado; reutilización incorrecta de respuestas almacenadas en caché cuando cambian las opciones EDNS; y manejo de memoria no inicializada para ciertas direcciones IPv6.
EDNS permite incluir opciones adicionales en consultas DNS. Los fallos no tienen todos el mismo efecto: algunos pueden detener la resolución o consumir recursos, y otros pueden afectar a la integridad o confidencialidad de los datos recibidos. Debian advierte que el impacto depende del uso de la biblioteca; el aviso no afirma que todos los sistemas que incorporan c-ares estén expuestos de la misma manera.
Actualización para Debian 13
Para la distribución estable trixie, Debian indica que los problemas están corregidos en 1.34.9-1~deb13u1 y recomienda actualizar los paquetes de c-ares. El rastreador de seguridad de Debian muestra el estado por distribución y distingue la versión de los repositorios de seguridad de la disponible en otros repositorios. Comprueba allí el estado de la distribución que utilizas en lugar de extrapolar la versión de trixie.
En sistemas gestionados con los repositorios oficiales de Debian, instala las actualizaciones disponibles mediante el procedimiento habitual y verifica la versión del paquete. Si una aplicación incluye su propia copia de c-ares, actualizar el paquete del sistema podría no actualizar esa copia: consulta cómo distribuye la dependencia el proveedor de la aplicación. El aviso no ofrece una mitigación provisional.
