FICHE CVE

CVE-2026-26018

Publiée le 2026-03-06 · Dernière modification le 2026-07-15

🇫🇷 EN BREF

Les serveurs CoreDNS antérieurs à la version 1.14.2 sont vulnérables à une attaque par déni de service pouvant provoquer le plantage de l'ensemble du processus DNS. Un attaquant peut déclencher ce plantage en envoyant des requêtes DNS spécialement conçues, en exploitant un générateur de nombres aléatoires prévisible dans le plugin de détection de boucles. Cette attaque est facile à exécuter car elle ne nécessite qu'un accès réseau, sans authentification ni interaction de l'utilisateur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

Publiée2026-03-06

Dernière modification2026-07-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

CoreDNS is a DNS server that chains plugins. Prior to version 1.14.2, a denial of service vulnerability exists in CoreDNS's loop detection plugin that allows an attacker to crash the DNS server by sending specially crafted DNS queries. The vulnerability stems from the use of a predictable pseudo-random number generator (PRNG) for generating a secret query name, combined with a fatal error handler that terminates the entire process. This issue has been patched in version 1.14.2.