CoreDNS — это DNS-сервер, который объединяет плагины. До версии 1.14.2 логическая уязвимость в CoreDNS позволяла обойти контроль доступа DNS из-за порядка выполнения плагинов по умолчанию. Плагины безопасности, такие как acl, оцениваются перед плагином перезаписи, что приводит к ошибке времени проверки времени использования (TOCTOU).
Эта проблема исправлена в версии 1.14.2.
Показать оригинальное описание (EN)
CoreDNS is a DNS server that chains plugins. Prior to version 1.14.2, a logical vulnerability in CoreDNS allows DNS access controls to be bypassed due to the default execution order of plugins. Security plugins such as acl are evaluated before the rewrite plugin, resulting in a Time-of-Check Time-of-Use (TOCTOU) flaw. This issue has been patched in version 1.14.2.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1