Lo m\u00e1s importante en resumen<\/p>\n
- \n
- CVE-2026-62299 (reescritura):<\/strong> Reversi\u00f3n EDNS0 sin comprobaci\u00f3n de nil. Una consulta ordinaria puede provocar p\u00e1nico\/SERVFAIL. Correcci\u00f3n: CoreDNS 1.14.5. CVSS 5.3 (CNA).<\/li>\n
- CVE-2026-62309 (proxyproto):<\/strong> Encabezado PROXY-v2 con transporte no-UDP. Un paquete UDP de 28 bytes puede terminar el proceso. Correcci\u00f3n: 1.14.4. CVSS 7.5 (CNA).<\/li>\n
- Condici\u00f3n:<\/strong> Los sistemas afectados son aquellos con los respectivos plugins activados y accesibles. Muchos clusters de Kubernetes usan CoreDNS por defecto.<\/li>\n
- Inmediatamente:<\/strong> Revisar versi\u00f3n y Corefile, pasar a 1.14.5 (cubre ambos parches), dejar ProxyProto solo detr\u00e1s de balanceadores de carga de confianza.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/strong> 622 CVE: Priorizar antes de parchear p\u00e1nico<\/a> \u00b7 CI\/CD public\u00f3 el cargador del botnet AsyncAPI<\/a> \u00b7 Mini Shai-Hulud: gusano npm devora la cadena de suministro<\/a><\/p>\n
\n\u00bfQu\u00e9 es el incidente de CoreDNS?<\/strong> Dos punteros nil en los plugins reescritura (EDNS0-revert, CVE-2026-62299, Fix 1.14.5) y proxyproto (PROXY v2, CVE-2026-62309, Fix 1.14.4) permiten DoS remoto contra instancias de CoreDNS accesibles. Los operadores deben verificar Corefile, versi\u00f3n y superficie de ataque, luego actualizar a 1.14.5 o superior.<\/p>\n<\/div>\n
Qu\u00e9 provocan t\u00e9cnicamente estas brechas<\/h2>\n
CoreDNS es la capa DNS para servicios y pods en muchos stacks de Kubernetes y cloud\u2011native. Las brechas est\u00e1n en dos plugins concretos y act\u00faan en la respuesta y el procesamiento de paquetes all\u00ed.<\/p>\n
CVE-2026-62299<\/strong> afecta al plugin rewrite antes de la versi\u00f3n 1.14.5. En reglas EDNS0 con revert opcional, las reglas de respuesta acceden a res.IsEdns0() y dereferecian el resultado sin verificaci\u00f3n de nil cuando un plugin downstream entrega una respuesta sin registro OPT. Un cliente remoto y no autenticado puede provocar un p\u00e1nico en ResponseReverter mediante una consulta DNS adecuada. Resultado: SERVFAIL y p\u00e9rdida de disponibilidad. Con la directiva de recuperaci\u00f3n desactivada a trav\u00e9s de la directiva debug, el proceso se detiene abruptamente. Fuente: NVD y aviso de seguridad de GitHub GHSA-9pmm-cxww-rrr7, CNA-CVSS 5.3 (Disponibilidad baja).<\/p>\n
CVE-2026-62309<\/strong> afecta a proxyproto antes de la versi\u00f3n 1.14.4. Un \u00fanico datagrama UDP de 28-Byte con encabezado PROXY-v2 y transporte no UDP (por ejemplo, byte de familia 0x11) produce un puntero nulo al hacer addr.String() en el registro antes de que ServeDNS-Recovery intervenga. CNA-CVSS 7.5 (Disponibilidad alta). Fuente: NVD y GHSA-9rvv-m5g5-wc8r.<\/p>\n
\n28<\/div>\nBytes alcanzan para el fallo proxyproto (CVE-2026-62309)<\/p>\n
Fuente: NVD \/ Aviso de seguridad de GitHub<\/p>\n<\/div>\n
Por qu\u00e9 el plano de control se ve afectado<\/h2>\n
Las interrupciones de DNS en el cl\u00faster act\u00faan como un multiplicador silencioso: el descubrimiento de servicios se detiene, los sidecars e Ingress pierden objetivos, y los chequeos de salud se invierten. Un DoS en CoreDNS bloquea la operatividad de las cargas de trabajo superiores.<\/p>\n
Ambos problemas son CWE-476 (Desreferencia nula de puntero). Se trata de disponibilidad. La confidencialidad y la integridad de los datos permanecen intactas seg\u00fan los vectores CNA. La prioridad sigue siendo alta cuando CoreDNS es la \u00fanica capa de resoluci\u00f3n en el cl\u00faster y se escala sin presupuesto de interrupci\u00f3n de pods.<\/p>\n
CISA-SSVC marca CVE-2026-62299 con automatable=yes y exploitation=poc. CVE-2026-62309 con automatable=yes y exploitation=none (versi\u00f3n de la advisory). Para los operadores, la superficie de ataque alcanzable es clave: reglas de rewrite con EDNS0-revert y proxyproto expuesto antes del parche.<\/p>\n
Qu\u00e9 deben revisar los equipos ahora<\/h2>\n
Primero, inventario: \u00bfQu\u00e9 versi\u00f3n de CoreDNS se ejecuta en los cl\u00fasters? \u00bfQu\u00e9 plugins est\u00e1n en el Corefile? proxyproto es relativamente nuevo y suele ser \u00fatil solo detr\u00e1s de balanceadores de carga. rewrite con EDNS0-revert es m\u00e1s espec\u00edfico \u2013 justo all\u00ed se encuentra 62299.<\/p>\n
\nLISTA DE VERIFICACI\u00d3N DEL OPERADOR<\/p>\n
- \n
- ✓<\/span>Capturar la etiqueta de imagen de CoreDNS y la versi\u00f3n del gr\u00e1fico\/operador en todos los cl\u00fasters<\/li>\n
- ✓<\/span>Examinar el Corefile en busca de rewrite (EDNS0 + revert) y proxyproto<\/li>\n
- ✓<\/span>Actualizar a 1.14.5 (o al backport de la distribuci\u00f3n con ambos parches) en todos los cl\u00fasters<\/li>\n
- ✓<\/span>Mantener proxyproto accesible solo desde redes de balanceadores de carga de confianza<\/li>\n
- ✓<\/span>Observar registros de CrashLoop\/Panic y latencia DNS despu\u00e9s del despliegue<\/li>\n<\/ul>\n<\/div>\n
Quien utiliza Kubernetes gestionado, revisa el registro de cambios del plano de control del proveedor. Las implementaciones propias y on\u2011premise permanecen bajo tu responsabilidad de parcheo. Primero, los cl\u00fasters de pruebas con los mismos plugins del Corefile, luego la producci\u00f3n con un despliegue controlado.<\/p>\n
Clasificaci\u00f3n sin parches de p\u00e1nico<\/h2>\n
Dos vulnerabilidades en un plugin en un d\u00eda disparan la alarma por lotes. El camino resistente sigue: clarificar la superficie de ataque y la ventana de parcheo, y luego priorizar. Los clusters con ruta DNS p\u00fablica y proxyproto activo se enfrentan a clusters con rewrite interno sin revertir EDNS0. Los parches est\u00e1n publicados \u2013 1.14.4 para proxyproto, 1.14.5 para rewrite. Quien ya actualiza, toma la rama m\u00e1s reciente.<\/p>\n
Fuentes primarias para seguir: entradas NVD CVE-2026-62299 y CVE-2026-62309, los avisos de seguridad de GitHub y las etiquetas de lanzamiento de CoreDNS v1.14.4 y v1.14.5.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n
\n\u00bfQu\u00e9 versiones de CoreDNS est\u00e1n afectadas?<\/strong><\/summary>\n
CVE-2026-62299: reescritura antes de 1.14.5. CVE-2026-62309: proxyproto antes de 1.14.4. Ambos parches est\u00e1n incluidos en las versiones mencionadas.<\/p>\n<\/details>\n
\n\u00bfDebe cada cl\u00faster de Kubernetes parchearse de inmediato?<\/strong><\/summary>\n
En cuanto los complementos afectados est\u00e9n activos y accesibles, priorizarlos. Sin proxyproto y sin EDNS0-revert en rewrite disminuye la exposici\u00f3n pr\u00e1ctica – el mantenimiento de versiones sigue siendo obligatorio.<\/p>\n<\/details>\n
\n\u00bfEs una filtraci\u00f3n de datos o ejecuci\u00f3n remota de c\u00f3digo (RCE)?<\/strong><\/summary>\n
Tras la evaluaci\u00f3n de CNA, ambos CVE apuntan a Availability (DoS\/Panic). Confidencialidad e integridad permanecen intactas en los vectores.<\/p>\n<\/details>\n
\n\u00bfSirve 1.14.4 como versi\u00f3n objetivo?<\/strong><\/summary>\n
1.14.4 cierra proxyproto. Para rewrite (62299) la versi\u00f3n de correcci\u00f3n indicada es 1.14.5. Quien quiera cubrir ambos problemas planea 1.14.5 o superior.<\/p>\n<\/details>\n
\n\u00bfD\u00f3nde est\u00e1n los avisos oficiales?<\/strong><\/summary>\n
Advisories de seguridad de GitHub GHSA-9pmm-cxww-rrr7 y GHSA-9rvv-m5g5-wc8r, adem\u00e1s del NVD y las notas de lanzamiento de CoreDNS v1.14.4\/v1.14.5.<\/p>\n<\/details>\n
<\/p>\n
Selecci\u00f3n de la redacci\u00f3n<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-15-250x143.jpg\")
<\/span>Recomendado<\/span>622 CVE: priorizar en lugar de parchear con p\u00e1nico<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/joomla-icagenda-balbooa-kev-upload-rce-cover-hero-250x141.jpg\")
<\/span>Recomendado<\/span>Dos vulnerabilidades de Joomla en la lista KEV de CISA<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-12-250x143.jpg\")
<\/span>Recomendado<\/span>CI\/CD public\u00f3 el cargador de botnet AsyncAPI<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-cloudfront-5xx-was-vpc-origins-teams-pru-67055442.jpg\")
<\/span>cloudmagazin<\/span>Or\u00edgenes de CloudFront 5xx: qu\u00e9 deben verificar los equipos de Or\u00edgenes VPC<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-dean-ball-open-weight-macht-fud-dach-25610384-250x143.jpg\")
<\/span>Digital Chiefs<\/span>C\u00f3mo frenar el c\u00f3digo abierto sin prohibirlo<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"CoreDNS: rewrite-EDNS0 y proxyproto permiten DoS remoto. Correcciones en 1.14.5 y 1.14.4 – lo que los equipos de cl\u00faster deben verificar.","protected":false},"author":10,"featured_media":22385,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"CoreDNS","_yoast_wpseo_title":"Plugins de CoreDNS: DNS en cl\u00faster sin protecci\u00f3n de","_yoast_wpseo_metadesc":"CoreDNS rewrite y proxyproto: dos vulnerabilidades de DoS (CVE-2026-62299 y CVE-2026-62309). Correcciones en 1.14.5\/1.14.4 m\u00e1s lista de verificaci\u00f3n para operadores.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"es","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[257],"tags":[],"class_list":["post-22529","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es"],"evm_reading_time_minutes":6,"wpml_language":"es","wpml_translation_of":22384,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22529","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=22529"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22529\/revisions"}],"predecessor-version":[{"id":22544,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22529\/revisions\/22544"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/22385"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=22529"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=22529"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=22529"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - ✓<\/span>Examinar el Corefile en busca de rewrite (EDNS0 + revert) y proxyproto<\/li>\n
- CVE-2026-62309 (proxyproto):<\/strong> Encabezado PROXY-v2 con transporte no-UDP. Un paquete UDP de 28 bytes puede terminar el proceso. Correcci\u00f3n: 1.14.4. CVSS 7.5 (CNA).<\/li>\n