CVE-2026-33190
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
CoreDNS przed wersją 1.14.3 pozwala na obejście uwierzytelniania TSIG na transportach innych niż czysty DNS (DoT, DoH, DoH3, DoQ, gRPC). Wtyczka tsig ufa metodzie TsigStatus() dostarczonej przez writer transportu, która dla DoH/DoH3/DoQ/gRPC zawsze zwraca nil, a dla DoT nie ustawia TsigSecret. Umożliwia to nieuwierzytelnionemu klientowi dostęp do zasobów chronionych polityką tsig require all.
Ocena ryzyka
Atakujący zdalny bez uwierzytelnienia może uzyskać dostęp do stref DNS, które powinny być chronione przez TSIG, co narusza integralność i poufność danych DNS.
Rekomendacja
Należy zaktualizować CoreDNS do wersji 1.14.3, która zawiera poprawkę polegającą na samodzielnej weryfikacji TSIG przez wtyczkę tsig.
Inne podatności w CoreDNS
Zobacz wszystkie- CVE-2025-68151Średnie
CoreDNS przed wersją 1.14.0 zawiera podatność w implementacjach serwerów gRPC, HTTPS i HTTP/3, które nie mają krytycznych ograniczeń zasobów. Nieuwierzytelniony zdalny atakujący może wyczerpać pamięć i zdegradować lub zawiesić serwer poprzez otwarcie wielu równoczesnych połączeń.
- CVE-2026-35579Krytyczne
CoreDNS w wersjach przed 1.14.3 nieprawidłowo obsługuje uwierzytelnianie TSIG w transportach gRPC, QUIC, DoH i DoH3. W przypadku gRPC i QUIC serwer sprawdza tylko nazwę klucza TSIG, ale nie weryfikuje HMAC, przez co każde żądanie z pasującą nazwą klucza jest uznawane za uwierzytelnione. W przypadku DoH i DoH3 problem jest poważniejszy – serwer w ogóle nie sprawdza rekordu TSIG, więc każde żądanie z TSIG jest traktowane jako uwierzytelnione.
- CVE-2026-62994Niskie
W CoreDNS od wersji 1.9.4 do 1.14.5 wykryto podatność, w której klient DNS żądający transferu strefy AXFR może spowodować panikę (panic) serwera. Problem występuje przy konfiguracji k8s_external z headless-service, gdy endpoint nie ma zadeklarowanych portów. Poprawiono w wersji 1.14.5.
- CVE-2026-62309Wysokie
Podatność w CoreDNS przed wersją 1.14.4 pozwala na awarię procesu przez pojedynczy 28-bajtowy datagram UDP, gdy włączona jest wtyczka proxyproto. Błąd występuje w obsłudze nagłówka PROXY v2 z nie-UDP transportem.
- CVE-2026-62299Średnie
CoreDNS przed wersją 1.14.5 zawiera podatność w pluginie rewrite, gdzie brak sprawdzenia wartości NULL po wywołaniu res.IsEdns0() może prowadzić do paniki i awarii procesu. Zdalny, nieuwierzytelniony klient może wysłać pojedyncze zapytanie DNS, powodując panikę i degradację dostępności.
- CVE-2026-33489Wysokie
CoreDNS w wersjach przed 1.14.3 zawiera podatność w pluginie transfer, która może wybrać niewłaściwy blok ACL, gdy skonfigurowano zarówno strefę nadrzędną, jak i bardziej szczegółową podstrefę. Funkcja longestMatch() w plugin/transfer/transfer.go używa leksykograficznego porównania stringów zamiast rzeczywistego dopasowania najdłuższego sufiksu. W rezultacie permisywna reguła transferu dla strefy nadrzędnej może nadpisać restrykcyjną regułę dla podstrefy w zależności od kolejności nazw stref (np. "example.org." > "a.example.org." leksykograficznie). Pozwala to nieautoryzowanemu zdalnemu klientowi na wykonanie AXFR/IXFR dla podstrefy i pobranie pełnej zawartości strefy. Problem został naprawiony w wersji 1.14.3.
- CVE-2026-32936Wysokie
CoreDNS w wersjach przed 1.14.3 ma lukę, która pozwala na przyjmowanie zbyt dużych wartości parametru dns= w zapytaniach DoH GET, co prowadzi do kosztownego przetwarzania przed odrzuceniem żądania. Problem ten został naprawiony w wersji 1.14.3.
- CVE-2026-32934Wysokie
CoreDNS w wersjach przed 1.14.3 ma podatność, która pozwala zdalnemu klientowi na nieograniczony wzrost goroutine i pamięci poprzez otwieranie wielu strumieni QUIC i wysyłanie tylko 1 bajta na strumień. Problem ten został naprawiony w wersji 1.14.3.
- CVE-2026-26018Wysokie
W CoreDNS przed wersją 1.14.2 wykryto podatność na atak DoS w pluginie wykrywającym pętle. Atakujący może wysłać specjalnie spreparowane zapytania DNS, które wykorzystują przewidywalny generator liczb pseudolosowych (PRNG) do utworzenia sekretnej nazwy zapytania, co prowadzi do błędu krytycznego i zatrzymania całego procesu serwera.
- CVE-2026-26017Wysokie
W CoreDNS przed wersją 1.14.2 wykryto podatność logiczną, która umożliwia ominięcie kontroli dostępu DNS. Wynika to z domyślnej kolejności wykonywania wtyczek, gdzie wtyczki bezpieczeństwa (np. acl) są przetwarzane przed wtyczką rewrite, co prowadzi do błędu typu Time-of-Check Time-of-Use (TOCTOU).
Oryginalny opis (angielski, źródło NVD)
CoreDNS is a DNS server that chains plugins. In versions prior to 1.14.3, the tsig plugin can be bypassed on non-plain-DNS transports (DoT, DoH, DoH3, DoQ, and gRPC) because it trusts the transport writer's TsigStatus() instead of performing verification itself. The DoH and DoH3 writer's TsigStatus() always returns nil, the DoT server does not set TsigSecret on the dns.Server, and the DoQ and gRPC writers also unconditionally return nil. This allows an unauthenticated remote client to bypass TSIG-based authentication and access resources intended to be restricted behind a tsig require all policy. Plain DNS over TCP and UDP are not affected. This issue has been fixed in version 1.14.3.