CVE-2026-86003 in CoreDNS
Sumário
de VulDB • 16/09/2026
O CoreDNS é um servidor DNS escrito em Go. Antes da versão 1.14.7, os listeners de DNS-over-HTTPS, DNS-over-HTTP/3, DNS-over-QUIC e DNS-over-gRPC em plugin/pkg/doh/doh.go, core/dnsserver/server_quic.go e core/dnsserver/server_grpc.go chamam dns.Msg.Unpack sem a política de solicitação dns.DefaultMsgAcceptFunc utilizada por UDP, TCP e DNS-over-TLS. Um cliente não autenticado pode enviar uma atualização RFC 2136 UPDATE que o plugin proxy ou forward repassa inalterada para um upstream com capacidade de atualização. Se esse upstream confiar no endereço de origem do CoreDNS ou na conexão e não exigir um TSIG ponta a ponta desconhecido pelo atacante, a solicitação parecerá originar-se do CoreDNS e poderá adicionar, substituir ou excluir registros DNS, redirecionar o tráfego, assumir controle de nomes, alterar o roteamento de correio eletrônico ou interromper a zona gravável. Este problema é corrigido na versão 1.14.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.