CVE-2026-26018

Nome do Software Vulnerável e Versões Afetadas CoreDNS versões anteriores a 1.14.2

Descrição Um problema de negação de serviço existe no plugin de detecção de loop do CoreDNS. Um invasor remoto pode derrubar o servidor DNS enviando consultas DNS especialmente elaboradas. A falha é causada pelo uso de um gerador de números pseudoaleatórios (PRNG) previsível para criar um nome de consulta secreto qname na função qname() em plugin/loop/setup.go. Essa previsibilidade permite que um invasor adivinhe o qname se souber o horário de inicialização do servidor ou tiver acesso aos logs durante a degradação da rede. Quando o servidor recebe três ou mais consultas HINFO correspondentes, a função ServeDNS() em plugin/loop/loop.go aciona um manipulador de erro fatal Fatalf() em plugin/pkg/log/log.go, que chama os.Exit(1) e encerra o processo imediatamente. Como o CoreDNS é o servidor DNS padrão para o Kubernetes, isso pode levar à falha na resolução de DNS em todo o cluster e interrupções em cascata nos serviços.

Recomendações Atualize o CoreDNS para a versão 1.14.2 ou posterior. Como mitigação temporária, restrinja o acesso ao plugin de detecção de loop ou monitore os logs em busca de padrões incomuns de consultas HINFO para detectar tentativas de exploração.