github.com/coredns/coredns に認証バイパス(CVE-2026-35579・CVSS 9.8)

概要

github.com/coredns/coredns に認証バイパス (CVE-2026-35579) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。tsigStatus 経由で攻撃可能。対策: 1.14.3 以上に更新。

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Summary

The gRPC, QUIC, DoH, and DoH3 transports in CoreDNS incorrectly handle TSIG authentication.

For gRPC and QUIC, CoreDNS checks whether the TSIG key name exists in the config, but does not actually verify the TSIG HMAC. If the key name matches, tsigStatus remains nil and the tsig plugin treats the request as "verified".

For DoH and DoH3, the issue is worse: TSIG is not verified at all. The DoH response writer has TsigStatus() hardcoded to return nil, so any request containing a TSIG record is treated as authenticated, even if the key name is invalid and the MAC is garbage.

As a result, attackers may bypass TSIG authentication on affected transports and access TSIG-protected functionality such as AXFR/IXFR zone transfers, dynamic updates, or other TSIG-gated plugin behavior.

Details

In server_grpc.go and server_quic.go, the TSIG handling checks whether the TSIG key name exists, but does not call dns.TsigVerify().

Relevant code before fix:

if tsig := msg.IsTsig(); tsig != nil {
    if s.tsigSecret == nil {
        w.tsigStatus = dns.ErrSecret
    } else if _, ok := s.tsigSecret[tsig.Hdr.Name]; !ok {
        w.tsigStatus = dns.ErrSecret
    }
    // key found -> nothing happens -> tsigStatus stays nil -> "verified"
}

This means that for gRPC and QUIC, a request with a known TSIG key name but an invalid MAC is accepted as authenticated.

PRs #7943 and #7947 partially addressed this area by adding key name checks for gRPC and QUIC, but di…

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

CoreDNSのシステムに、悪意ある攻撃者がTSIG認証をすり抜けることができる重大な問題があります。この脆弱性を利用されると、ドメイン情報の不正操作や不正なデータ更新が行われるリスクがあります。この問題は、システムをバージョン1.14.3にアップデートすることで解決できます。過去にはこういった認証問題が原因で、重要なデータが盗まれる事例もあります。早急な対応が必要です。

攻撃者は、CoreDNS上のgRPCおよびQUICトランスポートにおいて、TSIGキー名の存在のみを確認しHMACを検証しない不備を利用して認証を回避できます。また、DoHおよびDoH3トランスポートでは、TSIG認証が全く行われないため、任意のTSIGレコードが認証済みとして受理されてしまいます。この脆弱性による影響を受けるバージョンは1.14.2以下で、修正されたバージョンは1.14.3です。攻撃検出は、ディスクライブしたgRPCまたはQUICの不正なリクエストパターンを監視し、異常なアクセス活動を記録することで行うことができます。

❓ 何が問題か

github.com/coredns/coredns に 認証バイパス (CWE-287) があります。攻撃者は tsigStatus を経由して脆弱な処理に到達し、認証なしで悪用できます。

📍 影響範囲

github.com/coredns/coredns のうち影響範囲: < 1.14.3。攻撃箇所: tsigStatus / server_grpc.go / server_quic.go / https.go。

🔥 重要度

重要度: 最重要 (CVSS 9.8/10)。悪用されるとシステム全体を乗っ取られる可能性があります

🔧 修正方法

1.14.3 に更新してください。(修正前: < 1.14.3 該当バージョンが本番稼働中なら直ちに更新計画を立案)

🛡️ 暫定回避

暫定回避: - Disable gRPC, QUIC, DoH, and DoH3 listeners where TSIG authentication is required.

🔍 検知方法

Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。

類似する過去の事例過去のCVE/インシデントから類似事例を抽出

CVE-2020-1350

A Windows DNS Server Remote Code Execution Vulnerability related to improper handling of DNS responses.

CVE-2019-19781

Citrix ADC and Gateway TSIG authentication bypass, allowing for possible remote code execution.

CVE-2017-17485

A vulnerability in Infoblox NIOS that allowed TSIG Key Misvalidation.

もし自社で起きたら業務シナリオごとの想定影響

📌 In an enterprise environment with large scale DNS management.

Attackers may exploit the vulnerability to perform unauthorized zone transfers, leading to potential exposure of proprietary information.

📌 In a cloud service provider offering DNS services.

Clients may lose trust in the service due to potential unauthorized DNS modifications affecting service reliability.

📌 For organizations hosting their own DNS infrastructure using CoreDNS.

Critical domain settings might be tampered with, resulting in service disruption or data leaks.

推奨アクション

Immediately update CoreDNS to version 1.14.3 to mitigate the vulnerability.

対応アクション

SOC/SREチームが順番に実行すべき具体的なステップとコマンド例

1
影響範囲の特定 identify
```
grep -r 'github.com/coredns/coredns' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で github.com/coredns/coredns を grep し、稼働しているサービス・バージョンを把握する。
2
バージョン照合 verify
```
Confirm if version satisfies `< 1.14.3`
```
Step 1 で見つかったバージョンが影響範囲 < 1.14.3 に該当するか照合。本番で稼働中ならインシデント扱い。
5
暫定回避策の適用 mitigate
```
- Disable gRPC, QUIC, DoH, and DoH3 listeners where TSIG authentication is required.
```
パッチが適用されるまでの応急処置として、- Disable gRPC, QUIC, DoH, and DoH3 listeners where TSIG authentication is required. を実施。回避策の副作用 (機能低下) を確認した上で。
6
パッチ適用 patch
```
Upgrade github.com/coredns/coredns to 1.14.3
```
ステージング環境で 1.14.3 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスと、Step 3 で見つけた異常検知の続報チェックを含めること。
7
事後検証 verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。

影響パッケージ

go github.com/coredns/coredns

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"1.14.3"}]}]

概要