CVE-2026-86003
Açıklama
CoreDNS, Go ile yazılmış bir DNS sunucusudur. 1.14.7 sürümünden önce; plugin/pkg/doh/doh.go, core/dnsserver/server_quic.go ve core/dnsserver/server_grpc.go dosyalarındaki DNS-over-HTTPS, DNS-over-HTTP/3, DNS-over-QUIC ve DNS-over-gRPC dinleyicileri, UDP, TCP ve DNS-over-TLS tarafından kullanılan dns.DefaultMsgAcceptFunc istek politikası olmadan dns.Msg.Unpack fonksiyonunu çağırır. Kimliği doğrulanmamış bir istemci, proxy veya forward eklentisinin güncellenebilir bir üst sunucuya (upstream) olduğu gibi ilettiği bir RFC 2136 UPDATE isteği gönderebilir. Eğer söz konusu üst sunucu, CoreDNS'in kaynak adresine veya bağlantısına güveniyorsa ve saldırgan tarafından bilinmeyen uçtan uca bir TSIG gerektirmiyorsa, istek CoreDNS'den geliyormuş gibi görünür ve DNS kayıtları ekleyebilir, değiştirebilir veya silebilir, trafiği yönlendirebilir, isimleri ele geçirebilir, posta yönlendirmesini değiştirebilir veya yazılabilir bölgeyi bozabilir. Bu sorun 1.14.7 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/coredns/coredns1.14.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/coredns/corednsGo | v < 1.14.7 | 1.14.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.