CoreDNSの脆弱性「CVE-2026-62994」が、GitHub Advisory Databaseに掲載されました。特定のゾーン転送構成で内部処理のパニックが発生し、debugプラグインが有効な場合はCoreDNSプロセスが異常終了する恐れがあります。公開日は提供資料に記載されていません。
転送を許可されたクライアントが誘発可能
問題になるのは、DNSのゾーン情報をまとめて取得するAXFR要求の処理です。誰でも無条件に悪用できるという内容ではなく、対象ゾーンのAXFR要求を許可されたクライアントが悪用できるとされています。
構成面でも複数の条件があります。k8s_externalでheadlessのゾーン転送を使い、transfer設定で対象ゾーンの転送を許可している必要があります。さらに、対象のheadlessサービスに対応するEndpointSliceに、準備完了のアドレスがあり、ポート宣言がないことも条件です。
この条件下で、k8s_externalが空のDNSレコード群を転送処理へ渡します。transferが空配列の先頭を参照することで、処理を続けられなくなるパニックが発生します。掲載情報では、ローカルの単体テストでパニックと空のレコード群の送出を再現したとしています。
通常モードとdebug有効時で影響が異なる
通常モードではパニックから回復し、DNSの処理失敗を示すSERVFAILを返します。ただし、繰り返し誘発されると、要求処理の妨害やパニックログの増大につながる可能性があります。プロセスが終了しない場合も、影響がないとは扱えません。
一方、debugプラグインが有効な場合は、CoreDNSプロセスが異常終了し得ます。対象条件の確認と併せて、debugの有効・無効を切り分けることが重要です。
掲載情報は、transfer側で空のレコード群を読み飛ばすか拒否する修正と、k8s_external側でも空のレコード群を送らない修正を提案しています。これは修正案であり、修正版の公開を示す情報ではありません。影響するバージョン、修正版、提供時期は資料に記載されていません。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: CoreDNSでk8s_externalのheadlessゾーン転送を使い、transferで対象ゾーンの転送を許可している会社です。対象のheadlessサービスに対応するEndpointSliceに、準備完了のアドレスがあり、ポート宣言がないことも条件です。
- 影響する: 上記の条件に加えてdebugプラグインを有効にしている会社です。要求処理への影響だけでなく、プロセスの異常終了も想定した確認が必要です。
- 影響しない: k8s_externalのheadlessゾーン転送を使っていないなど、記載された成立条件を満たさない構成は、今回説明された発生経路には該当しません。バージョンだけで対象外と判断できる条件は、発表には書かれていません。
情シスが今日やること
- 今日の確認対象として、DNS基盤の運用担当者や委託先にCoreDNSの利用有無を照会します。利用している場合は、稼働版に加えて、k8s_external、transfer、debugの設定内容を取り寄せます。
- CoreDNSの設定で、headlessのゾーン転送を使っているか、対象ゾーンのAXFR要求をどのクライアントに許可しているかを確認します。許可先の一覧を運用担当者と照合し、今回の条件に当たる構成を絞ります。
- 該当する構成では、対象のheadlessサービスに対応するEndpointSliceを確認します。準備完了のアドレスがあるか、ポート宣言がないかを点検します。debugの有効・無効も併記し、成立条件がそろう環境を区別して記録します。
- 確認結果をDNS運用責任者に共有し、SERVFAIL、パニックログの増大、プロセス異常終了の有無を点検します。更新を計画する際は、修正案を修正済みと扱わず、修正版と対象バージョンの情報を改めて確認します。
