Younevsky

**Nome do Software Vulnerável e Versões Afetadas** CoreDNS versões anteriores a 1.14.2 **Description** Uma falha lógica existe devido à ordem de execução padrão dos plugins, onde plugins de segurança como `acl` são avaliados antes do plugin `rewrite`. Isso cria uma falha de Tempo de Verificação Tempo de Uso (TOCTOU)—uma condição de corrida onde um recurso é verificado, mas depois modificado antes de ser usado—permitindo que invasores ignorem os controles de acesso DNS. Em clusters Kubernetes multi-tenant, isso pode comprometer as estratégias de segmentação baseadas em DNS, permitindo a descoberta de serviços não autorizados e o reconhecimento de infraestrutura interna restrita ao mapear nomes públicos para serviços internos após a verificação de controle de acesso ter sido aprovada. **Recommendations** Atualizar para a versão 1.14.2. Reordenar o `plugin.cfg` padrão para que o `rewrite` e outros plugins de normalização sejam executados antes do `acl`, `opa` e `firewall`. Garantir que todas as verificações de controle de acesso sejam aplicadas após a normalização de nomes.

**Nome do Software Vulnerável e Versões Afetadas** CoreDNS versões anteriores a 1.14.2 **Descrição** Um problema de negação de serviço existe no plugin de detecção de loop do CoreDNS. Um invasor remoto pode derrubar o servidor DNS enviando consultas DNS especialmente elaboradas. A falha é causada pelo uso de um gerador de números pseudoaleatórios (PRNG) previsível para criar um nome de consulta secreto `qname` na função `qname()` em `plugin/loop/setup.go`. Essa previsibilidade permite que um invasor adivinhe o `qname` se souber o horário de inicialização do servidor ou tiver acesso aos logs durante a degradação da rede. Quando o servidor recebe três ou mais consultas HINFO correspondentes, a função `ServeDNS()` em `plugin/loop/loop.go` aciona um manipulador de erro fatal `Fatalf()` em `plugin/pkg/log/log.go`, que chama `os.Exit(1)` e encerra o processo imediatamente. Como o CoreDNS é o servidor DNS padrão para o Kubernetes, isso pode levar à falha na resolução de DNS em todo o cluster e interrupções em cascata nos serviços. **Recomendações** Atualize o CoreDNS para a versão 1.14.2 ou posterior. Como mitigação temporária, restrinja o acesso ao plugin de detecção de loop ou monitore os logs em busca de padrões incomuns de consultas HINFO para detectar tentativas de exploração.