CVE-2026-33489
Açıklama
CoreDNS, eklentileri zincirleyen bir DNS sunucusudur. 1.14.3 öncesindeki sürümlerde, hem bir üst bölge (parent zone) hem de daha spesifik bir alt bölge (subzone) yapılandırıldığında, transfer eklentisi yanlış ACL bloğunu seçebilir. plugin/transfer/transfer.go dosyasındaki longestMatch() fonksiyonu, kazanan bölgeyi seçmek için gerçek bir en uzun sonek eşleşmesi yerine sözlüksel dize karşılaştırması kullanır. Sonuç olarak, bölge adı sıralamasına bağlı olarak (örneğin, sözlüksel olarak "example.org." > "a.example.org."), izin verici bir üst bölge transfer kuralı, kısıtlayıcı bir alt bölge kuralını geçersiz kılabilir. Bu durum, yetkisiz bir uzak istemcinin alt bölge için AXFR/IXFR gerçekleştirmesine ve tam bölge içeriğini almasına olanak tanır. Bu sorun 1.14.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- coredns.io coredns1.14.3 ya da sonraki bir sürüm
- github.com/coredns/coredns1.14.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| coredns.io coredns | v < 1.14.3 | 1.14.3 |
| github.com/coredns/corednsGo | v < 1.14.3 | 1.14.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.