CVE-2026-86003

Nome do Software Vulnerável e Versões Afetadas CoreDNS versões anteriores a 1.14.7

Descrição O CoreDNS não aplica a política de requisição dns.DefaultMsgAcceptFunc ao processar solicitações via listeners de DNS-over-HTTPS (DoH), DNS-over-HTTP/3 (DoH3), DNS-over-QUIC (DoQ) e DNS-over-gRPC. Especificamente, a função dns.Msg.Unpack() é chamada sem as verificações de política necessárias em plugin/pkg/doh/doh.go, core/dnsserver/server quic.go e core/dnsserver/server grpc.go.

Isso permite que um cliente não autenticado envie mensagens de atualização RFC 2136 que os plugins proxy ou forward encaminham inalteradas para um servidor DNS upstream. Se o servidor upstream confiar no endereço de origem do CoreDNS ou na conexão e não exigir uma Assinatura de Transação (TSIG), a requisição parecerá originar-se do CoreDNS. Um invasor pode explorar isso para adicionar, substituir ou excluir registros DNS, redirecionar tráfego, assumir nomes de domínio, alterar o roteamento de e-mail ou interromper zonas graváveis.

Recomendações Atualize o CoreDNS para a versão 1.14.7 ou posterior. Como mitigação temporária, restrinja o acesso aos listeners DoH, DoH3, DoQ e DNS-over-gRPC apenas a fontes confiáveis. Garanta que os servidores DNS upstream exijam e validem TSIG de ponta a ponta para todas as requisições de atualização (UPDATE).