CVE-2026-33489
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
CoreDNS w wersjach przed 1.14.3 zawiera podatność w pluginie transfer, która może wybrać niewłaściwy blok ACL, gdy skonfigurowano zarówno strefę nadrzędną, jak i bardziej szczegółową podstrefę. Funkcja longestMatch() w plugin/transfer/transfer.go używa leksykograficznego porównania stringów zamiast rzeczywistego dopasowania najdłuższego sufiksu. W rezultacie permisywna reguła transferu dla strefy nadrzędnej może nadpisać restrykcyjną regułę dla podstrefy w zależności od kolejności nazw stref (np. "example.org." > "a.example.org." leksykograficznie). Pozwala to nieautoryzowanemu zdalnemu klientowi na wykonanie AXFR/IXFR dla podstrefy i pobranie pełnej zawartości strefy. Problem został naprawiony w wersji 1.14.3.
Ocena ryzyka
Nieautoryzowany zdalny atakujący może pobrać pełną zawartość strefy DNS podstrefy, co może ujawnić wrażliwe informacje o infrastrukturze sieciowej.
Rekomendacja
Zaktualizuj CoreDNS do wersji 1.14.3 lub nowszej, która zawiera poprawkę.
Inne podatności w CoreDNS
Zobacz wszystkie- CVE-2025-68151Średnie
CoreDNS przed wersją 1.14.0 zawiera podatność w implementacjach serwerów gRPC, HTTPS i HTTP/3, które nie mają krytycznych ograniczeń zasobów. Nieuwierzytelniony zdalny atakujący może wyczerpać pamięć i zdegradować lub zawiesić serwer poprzez otwarcie wielu równoczesnych połączeń.
- CVE-2026-35579Krytyczne
CoreDNS w wersjach przed 1.14.3 nieprawidłowo obsługuje uwierzytelnianie TSIG w transportach gRPC, QUIC, DoH i DoH3. W przypadku gRPC i QUIC serwer sprawdza tylko nazwę klucza TSIG, ale nie weryfikuje HMAC, przez co każde żądanie z pasującą nazwą klucza jest uznawane za uwierzytelnione. W przypadku DoH i DoH3 problem jest poważniejszy – serwer w ogóle nie sprawdza rekordu TSIG, więc każde żądanie z TSIG jest traktowane jako uwierzytelnione.
- CVE-2026-62994Niskie
W CoreDNS od wersji 1.9.4 do 1.14.5 wykryto podatność, w której klient DNS żądający transferu strefy AXFR może spowodować panikę (panic) serwera. Problem występuje przy konfiguracji k8s_external z headless-service, gdy endpoint nie ma zadeklarowanych portów. Poprawiono w wersji 1.14.5.
- CVE-2026-62309Wysokie
Podatność w CoreDNS przed wersją 1.14.4 pozwala na awarię procesu przez pojedynczy 28-bajtowy datagram UDP, gdy włączona jest wtyczka proxyproto. Błąd występuje w obsłudze nagłówka PROXY v2 z nie-UDP transportem.
- CVE-2026-62299Średnie
CoreDNS przed wersją 1.14.5 zawiera podatność w pluginie rewrite, gdzie brak sprawdzenia wartości NULL po wywołaniu res.IsEdns0() może prowadzić do paniki i awarii procesu. Zdalny, nieuwierzytelniony klient może wysłać pojedyncze zapytanie DNS, powodując panikę i degradację dostępności.
- CVE-2026-33190Wysokie
CoreDNS przed wersją 1.14.3 pozwala na obejście uwierzytelniania TSIG na transportach innych niż czysty DNS (DoT, DoH, DoH3, DoQ, gRPC). Wtyczka tsig ufa metodzie TsigStatus() dostarczonej przez writer transportu, która dla DoH/DoH3/DoQ/gRPC zawsze zwraca nil, a dla DoT nie ustawia TsigSecret. Umożliwia to nieuwierzytelnionemu klientowi dostęp do zasobów chronionych polityką tsig require all.
- CVE-2026-32936Wysokie
CoreDNS w wersjach przed 1.14.3 ma lukę, która pozwala na przyjmowanie zbyt dużych wartości parametru dns= w zapytaniach DoH GET, co prowadzi do kosztownego przetwarzania przed odrzuceniem żądania. Problem ten został naprawiony w wersji 1.14.3.
- CVE-2026-32934Wysokie
CoreDNS w wersjach przed 1.14.3 ma podatność, która pozwala zdalnemu klientowi na nieograniczony wzrost goroutine i pamięci poprzez otwieranie wielu strumieni QUIC i wysyłanie tylko 1 bajta na strumień. Problem ten został naprawiony w wersji 1.14.3.
- CVE-2026-26018Wysokie
W CoreDNS przed wersją 1.14.2 wykryto podatność na atak DoS w pluginie wykrywającym pętle. Atakujący może wysłać specjalnie spreparowane zapytania DNS, które wykorzystują przewidywalny generator liczb pseudolosowych (PRNG) do utworzenia sekretnej nazwy zapytania, co prowadzi do błędu krytycznego i zatrzymania całego procesu serwera.
- CVE-2026-26017Wysokie
W CoreDNS przed wersją 1.14.2 wykryto podatność logiczną, która umożliwia ominięcie kontroli dostępu DNS. Wynika to z domyślnej kolejności wykonywania wtyczek, gdzie wtyczki bezpieczeństwa (np. acl) są przetwarzane przed wtyczką rewrite, co prowadzi do błędu typu Time-of-Check Time-of-Use (TOCTOU).
Oryginalny opis (angielski, źródło NVD)
CoreDNS is a DNS server that chains plugins. In versions prior to 1.14.3, the transfer plugin can select the wrong ACL stanza when both a parent zone and a more-specific subzone are configured. The longestMatch() function in plugin/transfer/transfer.go uses a lexicographic string comparison instead of an actual longest-suffix match to select the winning zone. As a result, a permissive parent-zone transfer rule can override a restrictive subzone rule depending on zone name ordering (e.g., "example.org." > "a.example.org." lexicographically). This allows an unauthorized remote client to perform AXFR/IXFR for the subzone and retrieve its full zone contents. This issue has been fixed in version 1.14.3.