CVE-2026-35579

CoreDNS Go dilində yazılmış bir DNS serveridir. 1.14.3 versiyasından əvvəlki versiyalarda gRPC, QUIC, DoH və DoH3 transport tətbiqləri TSIG autentifikasiyasını yanlış emal edir. gRPC və QUIC üçün server konfiqurasiyada TSIG açar adının mövcud olub-olmadığını yoxlayır, lakin HMAC-ı təsdiqləmək üçün heç vaxt dns.TsigVerify() funksiyasını çağırmır. Əgər açar adı konfiqurasiya edilmiş açarla uyğunlaşarsa, tsigStatus sahəsi nil olaraq qalır və tsig plagini MAC dəyərindən asılı olmayaraq sorğunu uğurla autentifikasiya edilmiş kimi qəbul edir. DoH və DoH3 üçün problem daha ciddidir: DoHWriter.TsigStatus() metodu şərtsiz olaraq nil qaytarır və server TSIG qeydini ümumiyyətlə yoxlamır. Tərkibində TSIG qeydi olan hər hansı sorğu, açar adı etibarsız və MAC ixtiyari olsa belə, DoH və DoH3 üzərindən autentifikasiya olunmuş kimi qəbul edilir. Autentifikasiya olunmamış şəbəkə hücumçusu bundan istifadə edərək AXFR/IXFR zona transferləri, dinamik DNS yeniləmələri və ya digər TSIG ilə qorunan plagin davranışları kimi funksionallıqlardan yan keçə bilər. DoH və DoH3 variantlarında istismar ehtimalı daha yüksəkdir, çünki hücumçunun etibarlı TSIG açar adını bilməsinə ehtiyac yoxdur. Bu problem 1.14.3 versiyasında düzəldilmişdir. Müvəqqəti həll yolu kimi, TSIG autentifikasiyası tələb olunan yerlərdə gRPC, QUIC, DoH və DoH3 dinləyicilərini deaktiv edin və ya təsirə məruz qalan transport portlarına şəbəkə səviyyəsində girişi yalnız etibarlı mənbələrlə məhdudlaşdırın.