CVE-2026-86003
Təsvir
CoreDNS Go dilində yazılmış bir DNS serveridir. 1.14.7 versiyasından əvvəl plugin/pkg/doh/doh.go, core/dnsserver/server_quic.go və core/dnsserver/server_grpc.go fayllarındakı DNS-over-HTTPS, DNS-over-HTTP/3, DNS-over-QUIC və DNS-over-gRPC dinləyiciləri, UDP, TCP və DNS-over-TLS tərəfindən istifadə edilən dns.DefaultMsgAcceptFunc sorğu siyasəti olmadan dns.Msg.Unpack funksiyasını çağırır. Autentifikasiya olunmamış müştəri, proksi və ya forward plagininin dəyişdirilmədən yeniləmə imkanı olan yuxarı səviyyəli (upstream) serverə ötürdüyü RFC 2136 UPDATE sorğusunu göndərə bilər. Əgər həmin upstream server CoreDNS-in mənbə ünvanına və ya bağlantısına etibar edirsə və hücumçuya məlum olmayan ucdan-uca TSIG tələb etmirsə, sorğu CoreDNS-dən gəlmiş kimi görünür və DNS qeydlərini əlavə edə, əvəz edə və ya silə, trafiki yönləndirə, adları ələ keçirə, poçt marşrutlaşdırılmasını dəyişdirə və ya yazıla bilən zonanı pozur. Bu problem 1.14.7 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- github.com/coredns/coredns1.14.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/coredns/corednsGo | v < 1.14.7 | 1.14.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.