CVE-2026-82399 in CoreDNS
要約
〜によって VulDB • 2026年09月16日
CoreDNSはGoで書かれたDNSサーバーです。バージョン1.14.7より前では、plugin/pkg/doh/doh.go、core/dnsserver/server_quic.go、および core/dnsserver/server_grpc.goにおけるDNS-over-HTTPS、DNS-over-HTTP/3、DNS-over-QUIC、および DNS-over-gRPCのリクエストパスにおいて、dns.DefaultMsgAcceptFuncが固定ヘッダーを検証する前に攻撃者が制御可能なDNSセクション数に対して dns.Msg.Unpack が呼び出されます。認証されていないクライアントは、DNS名圧縮と過大なセクション数を悪用してプラグインチェーン前の割り当てを増幅させることができるため、プラグインレベルのレート制限では同時リクエストによるメモリ枯渇およびCoreDNSの終了を防ぐことができません。通常のUDPおよびTCPリスナーはヘッダーを最初に検証するため、影響を受けません。この問題はバージョン1.14.7で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.