CVE-2026-82399

Nome do Software Vulnerável e Versões Afetadas CoreDNS versões anteriores a 1.14.7

Description O CoreDNS contém um problema de negação de serviço (DoS) não autenticado onde o servidor analisa contagens de seções DNS controladas por um invasor antes de validar o cabeçalho fixo. Isso ocorre nos caminhos de requisição DNS-over-HTTPS (DoH e DoH3), DNS-over-QUIC (DoQ) e DNS-over-gRPC localizados em plugin/pkg/doh/doh.go, core/dnsserver/server quic.go e core/dnsserver/server grpc.go.

Um invasor pode usar a compressão de nomes DNS e contagens de seções excessivas para desencadear a amplificação da alocação de memória durante a execução da função dns.Msg.Unpack(). Por exemplo, uma única requisição de 65.533 bytes pode alocar mais de 10 MiB de memória. Como essa análise ocorre antes da cadeia de plugins, a limitação de taxa (rate limiting) no nível do plugin não pode evitar que requisições simultâneas esgotem a memória do sistema e causem o encerramento do servidor pelo sistema operacional (OOMKilled). Os ouvintes UDP e TCP comuns não são afetados, pois validam o cabeçalho antes da descompactação.

Recommendations Atualize o CoreDNS para a versão 1.14.7. Como medida de mitigação temporária, restrinja o acesso aos transportes DNS-over-HTTPS, DNS-over-QUIC e DNS-over-gRPC apenas a clientes confiáveis.