CVE-2026-33190

CoreDNS przed wersją 1.14.0 zawiera podatność w implementacjach serwerów gRPC, HTTPS i HTTP/3, które nie mają krytycznych ograniczeń zasobów. Nieuwierzytelniony zdalny atakujący może wyczerpać pamięć i zdegradować lub zawiesić serwer poprzez otwarcie wielu równoczesnych połączeń.

CoreDNS w wersjach przed 1.14.3 nieprawidłowo obsługuje uwierzytelnianie TSIG w transportach gRPC, QUIC, DoH i DoH3. W przypadku gRPC i QUIC serwer sprawdza tylko nazwę klucza TSIG, ale nie weryfikuje HMAC, przez co każde żądanie z pasującą nazwą klucza jest uznawane za uwierzytelnione. W przypadku DoH i DoH3 problem jest poważniejszy – serwer w ogóle nie sprawdza rekordu TSIG, więc każde żądanie z TSIG jest traktowane jako uwierzytelnione.

CoreDNS to serwer DNS napisany w Go. Przed wersją 1.14.7, nasłuchy DNS-over-HTTPS, DNS-over-HTTP/3, DNS-over-QUIC i DNS-over-gRPC w plugin/pkg/doh/doh.go, core/dnsserver/server_quic.go i core/dnsserver/server_grpc.go wywołują dns.Msg.Unpack bez polityki żądań dns.DefaultMsgAcceptFunc używanej przez UDP, TCP i DNS-over-TLS. Nieuwierzytelniony klient może wysłać aktualizację RFC 2136, którą plugin proxy lub forward przekazuje bez zmian do aktualizowalnego upstreamu. Jeśli ten upstream ufa adresowi źródłowemu lub połączeniu CoreDNS i nie wymaga nieznanego atakującemu end-to-end TSIG, żądanie wydaje się pochodzić z CoreDNS i może dodawać, zastępować lub usuwać rekordy DNS, przekierowywać ruch, przejmować nazwy, zmieniać routing poczty lub zakłócać strefę zapisywalną. Problem został naprawiony w wersji 1.14.7.

CoreDNS to serwer DNS napisany w Go. Przed wersją 1.14.7, ścieżki żądań DNS-over-HTTPS, DNS-over-HTTP/3, DNS-over-QUIC i DNS-over-gRPC w plugin/pkg/doh/doh.go, core/dnsserver/server_quic.go i core/dnsserver/server_grpc.go wywołują dns.Msg.Unpack na liczbach sekcji kontrolowanych przez atakującego przed walidacją stałego nagłówka przez dns.DefaultMsgAcceptFunc. Nieuwierzytelniony klient może użyć kompresji nazw DNS i nadmiernych liczb sekcji, aby wzmocnić alokację przed łańcuchem pluginów, więc ograniczanie szybkości na poziomie pluginu nie może zapobiec wyczerpaniu pamięci przez równoczesne żądania i zakończeniu działania CoreDNS. Zwykłe nasłuchy UDP i TCP nie są dotknięte, ponieważ najpierw walidują nagłówek. Problem został naprawiony w wersji 1.14.7.

W CoreDNS od wersji 1.9.4 do 1.14.5 wykryto podatność, w której klient DNS żądający transferu strefy AXFR może spowodować panikę (panic) serwera. Problem występuje przy konfiguracji k8s_external z headless-service, gdy endpoint nie ma zadeklarowanych portów. Poprawiono w wersji 1.14.5.

Podatność w CoreDNS przed wersją 1.14.4 pozwala na awarię procesu przez pojedynczy 28-bajtowy datagram UDP, gdy włączona jest wtyczka proxyproto. Błąd występuje w obsłudze nagłówka PROXY v2 z nie-UDP transportem.

CoreDNS przed wersją 1.14.5 zawiera podatność w pluginie rewrite, gdzie brak sprawdzenia wartości NULL po wywołaniu res.IsEdns0() może prowadzić do paniki i awarii procesu. Zdalny, nieuwierzytelniony klient może wysłać pojedyncze zapytanie DNS, powodując panikę i degradację dostępności.

CoreDNS w wersjach przed 1.14.3 zawiera podatność w pluginie transfer, która może wybrać niewłaściwy blok ACL, gdy skonfigurowano zarówno strefę nadrzędną, jak i bardziej szczegółową podstrefę. Funkcja longestMatch() w plugin/transfer/transfer.go używa leksykograficznego porównania stringów zamiast rzeczywistego dopasowania najdłuższego sufiksu. W rezultacie permisywna reguła transferu dla strefy nadrzędnej może nadpisać restrykcyjną regułę dla podstrefy w zależności od kolejności nazw stref (np. "example.org." > "a.example.org." leksykograficznie). Pozwala to nieautoryzowanemu zdalnemu klientowi na wykonanie AXFR/IXFR dla podstrefy i pobranie pełnej zawartości strefy. Problem został naprawiony w wersji 1.14.3.

CoreDNS w wersjach przed 1.14.3 ma lukę, która pozwala na przyjmowanie zbyt dużych wartości parametru dns= w zapytaniach DoH GET, co prowadzi do kosztownego przetwarzania przed odrzuceniem żądania. Problem ten został naprawiony w wersji 1.14.3.

CoreDNS w wersjach przed 1.14.3 ma podatność, która pozwala zdalnemu klientowi na nieograniczony wzrost goroutine i pamięci poprzez otwieranie wielu strumieni QUIC i wysyłanie tylko 1 bajta na strumień. Problem ten został naprawiony w wersji 1.14.3.