PT-2025-36935
CVE-2025-58063
·
تاريخ النشر
2025-09-09
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 2.0
7.5
عاليةالمقاييسAV:N/AC:L/Au:S/C:N/I:P/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
إصدارات CoreDNS من 1.2.0 إلى 1.12.3
الوصف:
يحتوي CoreDNS، وهو خادم DNS يعمل بنظام تسلسل المكونات الإضافية، على ثغرة أمنية تتعلق بـ«التشويش في TTL» داخل المكون الإضافي etcd. تنشأ هذه الثغرة عن الاستخدام غير الصحيح لمعرّفات الترخيص (lease IDs) كقيم TTL، مما قد يتيح شن هجمات تثبيت ذاكرة التخزين المؤقت لـ DNS. وعلى وجه التحديد، تقوم الدالة
TTL() الموجودة في plugin/etcd/etcd.go بتحويل معرّفات الترخيص (64 بت) في etcd إلى uint32، مما يؤدي إلى قيم TTL كبيرة للغاية عندما يكون معرّف الترخيص كبيرًا. وهذا يسمح للمهاجمين بتثبيت إدخالات ذاكرة التخزين المؤقت لـ DNS لفترات طويلة، مما يؤدي إلى رفض الخدمة (DoS) فيما يتعلق بحل عناوين DNS للخدمات المتأثرة. يمكن للمهاجم الذي يمتلك حق الوصول للكتابة في etcd استغلال هذه الثغرة عن طريق كتابة أو تحديث مفتاح بأي مدة تأجير، مما يتسبب في قيام برامج التحليل والعملاء في المراحل اللاحقة بتخزين الإجابات في ذاكرة التخزين المؤقت لسنوات.التوصيات:
تتأثر إصدارات CoreDNS الأقدم من 1.12.4 بهذه المشكلة.
قم بالتحديث إلى إصدار CoreDNS 1.12.4 أو أحدث لحل هذه المشكلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾