CVE-2026-33489 in CoreDNS
Resumen
por VulDB • 2026-05-17
CoreDNS es un servidor DNS que encadena plugins. En las versiones anteriores a 1.14.3, el plugin de transferencia puede seleccionar la directiva ACL incorrecta cuando están configuradas tanto una zona padre como una subzona más específica. La función longestMatch() en plugin/transfer/transfer.go utiliza una comparación de cadenas lexicográfica en lugar de una coincidencia real del sufijo más largo para seleccionar la zona ganadora. Como resultado, una regla de transferencia de zona padre permisiva puede anular una regla restrictiva de subzona dependiendo del orden de los nombres de zona (por ejemplo, "example.org." > "a.example.org." lexicográficamente). Esto permite que un cliente remoto no autorizado realice AXFR/IXFR para la subzona y recupere su contenido completo de zona. Este problema se ha corregido en la versión 1.14.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.