CVE-2026-62994

Nome do Software Vulnerável e Versões Afetadas CoreDNS versões 1.9.4 até 1.14.4

Descrição Um cliente DNS de rede autorizado a solicitar AXFR (Transferência de Zona) pode causar um panic no servidor. Isso ocorre quando o CoreDNS está configurado com transferências de zona de serviço headless k8s external e o Kubernetes contém um endpoint de serviço headless sem portas declaradas. O problema originou-se no plugin/kubernetes/object/endpoint.go ao criar um Port: -1, que é então ignorado pelo plugin/k8s external/msg to dns.go. Consequentemente, o plugin/k8s external/transfer.go envia um lote []dns.RR vazio, e o plugin/transfer/transfer.go tenta indexar records[0] sem verificar se o lote não está vazio.

Recomendações Atualize para a versão 1.14.5.