Coredns · Coredns · CVE-2026-35579
**Nome do Software Vulnerável e Versões Afetadas**
CoreDNS versões anteriores a 1.14.3
**Description**
O tratamento incorreto da autenticação TSIG (Transaction Signature) nas implementações de transporte gRPC, QUIC, DoH (DNS over HTTPS) e DoH3 permite que um atacante de rede não autenticado ignore as proteções de segurança. Isso pode levar ao acesso não autorizado a funcionalidades restritas, incluindo transferências de zona AXFR/IXFR e atualizações dinâmicas de DNS.
Detalhes técnicos incluem:
- Para gRPC e QUIC, o servidor verifica o nome da chave TSIG, mas não chama a função `dns.TsigVerify()` para validar o HMAC. Se o nome da chave for válido, a variável `tsigStatus` permanece nula, levando o sistema a tratar a solicitação como autenticada, independentemente do valor do MAC.
- Para DoH e DoH3, a função `DoHWriter.TsigStatus()` retorna nulo incondicionalmente e o servidor não inspeciona o registro TSIG. Consequentemente, qualquer solicitação que contenha um registro TSIG é tratada como autenticada, mesmo com um nome de chave inválido ou MAC arbitrário.
**Recommendations**
Atualize o CoreDNS para a versão 1.14.3.
Como solução temporária, desative os ouvintes gRPC, QUIC, DoH e DoH3 onde a autenticação TSIG seja necessária.
Restrinja o acesso ao nível de rede nas portas de transporte afetadas apenas a fontes confiáveis.