CVE-2026-35579

CoreDNS, Go ile yazılmış bir DNS sunucusudur. 1.14.3 öncesindeki sürümlerde; gRPC, QUIC, DoH ve DoH3 taşıma uygulamaları TSIG kimlik doğrulamasını hatalı şekilde işlemektedir. gRPC ve QUIC için sunucu, TSIG anahtar adının yapılandırmada mevcut olup olmadığını kontrol eder ancak HMAC'yi doğrulamak için dns.TsigVerify() fonksiyonunu hiçbir zaman çağırmaz. Anahtar adı yapılandırılmış bir anahtarla eşleşirse, tsigStatus alanı nil kalır ve tsig eklentisi, MAC değerine bakılmaksızın isteği başarıyla kimlik doğrulanmış olarak kabul eder. DoH ve DoH3 için sorun daha ciddidir: DoHWriter.TsigStatus() metodu koşulsuz olarak nil döndürür ve sunucu TSIG kaydını hiçbir zaman incelemez. Herhangi bir TSIG kaydı içeren istek, anahtar adı geçersiz olsa ve MAC rastgele olsa bile DoH ve DoH3 üzerinden kimlik doğrulanmış olarak kabul edilir. Kimlik doğrulaması yapmamış bir ağ saldırganı, bunu AXFR/IXFR bölge transferleri, dinamik DNS güncellemeleri veya diğer TSIG korumalı eklenti davranışları gibi TSIG ile korunan işlevleri atlatmak için kullanabilir. DoH ve DoH3 varyantlarında, saldırganın geçerli bir TSIG anahtar adını bilmesine gerek olmadığı için istismar eşiği daha düşüktür. Bu sorun 1.14.3 sürümünde düzeltilmiştir. Geçici çözüm olarak, TSIG kimlik doğrulamasının gerekli olduğu yerlerde gRPC, QUIC, DoH ve DoH3 dinleyicilerini devre dışı bırakın veya etkilenen taşıma portlarına olan ağ düzeyindeki erişimi yalnızca güvenilir kaynaklarla sınırlandırın.